Bei einem Cisco Switch den Port sperren, wenn....

[stecher]

Ich habe da mal ein Problem bzw Idee:

Ich möchte gerne das der Port an einem Cisco Switch gesperrt wird wenn er eine neue MAC-Adresse erkennt.

z.B. In einem Pool-Raum hat jeder Rechner ne feste IP. Wenn jetzt jemand mit seinem Laptop kommt und einfach das Netzwerkkabel von einem Host an seinen Laptop steckt und sich die IP des Rechners gibt solll der Cisco Switch den Port sperren/deaktivieren.

Der Cisco Switch sollte ja erkennen,bevor der Eindringling seine IP geändert hat, das da eine neu(unbekannte) MAC-Adresse ist. Wenn er das macht soll er den Port sperren/deaktivieren. Wenn der Eindringling das Netzwerkkabel zurück steckt soll der Port immer noch deaktiviert sein.

Ist sowas in einer ACL zukonfigurieren oder mit was anderem?

Habt ihr meine Idee verstanden? Fragt mich ruhig noch aus bei Misverständnissen.

MfG stecher(FISI Azubi)

[DennyB]

Hallo,

theoretisch wuerde das auch mit Layer 2 ACLs gehen, allerdings benutzt man auf Cisco Devices normalerweise "Port Security" (wie genau haengt natuerlich auch vom Modell des Switches ab) dafuer. Die Kurzversion (normalerweise):

"switchport port-security mac-address MAC-ADDRESS"

Die lange Version gibts hier.

Der Port ist dann nur fuer die angegebene MAC Adresse aktiviert.

Ich verstehe allerdings nicht warum der Port weiter deaktiviert sein soll, wenn er wieder in der "richtigen" NIC steckt.

[nic_power]

Hallo,

Der Port ist dann nur fuer die angegebene MAC Adresse aktiviert.

Ich verstehe allerdings nicht warum der Port weiter deaktiviert sein soll, wenn er wieder in der "richtigen" NIC steckt.

Ganz einfach, um zu vermeiden dass ein Angreifer im Nachhinein noch die MAC-Adresse ändert.

Das Verhalten sollte sich über

set port security mod_num/port_num violation {shutdown | restrict}

Konfigurieren lassen.

Nic

[stecher]

Der Port ist dann nur fuer die angegebene MAC Adresse aktiviert.

Ich verstehe allerdings nicht warum der Port weiter deaktiviert sein soll, wenn er wieder in der "richtigen" NIC steckt.

1. Damit er die mac net ändern kann und dann trotzdem weiter im netz ist

2. Damit der jenige zu mir ins Büro kommen muss und sagen muss mein Netzwerk geht net, dann frag ich ihn warum bzw erkenne an den logs das er unerlaubt das Kabel gezogen hat und es einfach beii sich reingesteckt hat und dann bekommt er heiße ohren. bzw andere konsequensen.

ich hoffe es funktioniert thx euch beidenn.