Готовимся к CCNA Security (IINS 554)

[JDima]

Еще есть такая штука как VLAN Hoping

На самом деле, на каталистах такие фокусы уже не один десяток лет не проходят.

swport portsec

Адски сокращаете…

Кстати для контроля CAM можно использовать DAI – dynamic arp inspection

А на самом деле нельзя. DAI работает только с ARPами.

Лучшей практикой является применение tacacs+ для администраторов, а radius для внешних пользователей. через vpn.

Строго говоря, сейчас циска потихоньку уходит от TACACS+, стараясь завязать всё на RADIUS. Но у такакса есть сильный (и, наверное, единственный) козырь в рукаве: авторизация команд. Делать «privilege exec level 4 ping» на каждой железке все-таки неконструктивно. RBAC нередко еще более неконструктивен, и вообще сложно с ним, хотя иногда без него никак (допустим, я хочу разрешить определенной группе изменять конфигурацию одного интерфейса, но не другого).

Остальное это использование CCP для маршрутизатора

Помнится, когда я сдавал IINS, эта часть вызывала у меня лютую ненависть на экзамене. Были вопросы «какую кнопку надо нажать, чтобы сделать то-то». С знал, как это делается в cli, но гуй впервые видел :)

Справочная информация

Я бы перетащил «STP guards» в control plane, так как они работают только с BPDU или их отсутствием.
А под «Enc protocols» и «timeouts» что понимаете?

[kimssster]

По поводу STP guards, согласен, но циска думает по другому)). Сокращения, чтобы копипаст не работал в cli), скажем так, для тренировки полезнее. Exec priv 4 ping исключительно для наглядности. Enc prot-ssh забыл management, timeouts-login restriction-timeouts. Спасибо за ценный комментарий!

[rdntw]

вопрос немного не в тему, но про безопасность :)
как на абонентских портах срезать DHCP-кадры?

[kimssster]

Если вы не хотите динамическую адресацию, то по моему, самый простой способ это на хостовом FW дропать UDP по 68 порту. Или я не правильно понял вопрос…

[rdntw]

есть свитч, в 24 портах абоненты, все в одном влане. как застраховаться от случая когда кто-то из абонентов начнет раздавать адреса по DHCP?

судя по всему это и есть DHCP snooping, разобрался :)

[kimssster]

Да это он и есть:-)

[kimssster]

P.S. Уффф… сдал))

[unsobill]

залейте виртуальную машину куда-то?