man781 Posted November 29, 2015 Чем может реально грозить адрес управления в юзерском влане на свичах доступа (схема влан на дом)? Для ограничения доступа к свичу юзается сложный пасс и authentication ip access-class acl_name Вот так исторически сложилось. Свичей реально тысячи и переделывать не так уж и просто. Знаю, что это очень некрасиво - но чем реально плохо? Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
disappointed Posted November 29, 2015 MitM атакой на телнет сессию до коммутатора, Если жёстко прибить связки маков и айпишников свитчей на железе куда всё сводится, то наверное ещё останется опасной возможность л2 флуда.. шторма, петель, что может привести CPU свитча в полку и как следствие отвалу управления. Вообщем подводя итог - всё зависит от применяемых ACL-ей на абонских портах. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
pppoetest Posted November 29, 2015 Чем может реально грозить адрес управления в юзерском влане на свичах доступа (схема влан на дом)? Потерей управления, достаточно пофлудить арп. Вообщем подводя итог Как бы небыло геморно, управление всё таки лучше вынести. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
disappointed Posted November 29, 2015 А ну да, свитч же тоже можно залить arp-isit пакетами, так, что он настоящего мака своего гейта вжизнь не получит. И даже если это пофиксить статической записью у него в FDB, то объём такой работы будет больше, чем просто нормально довести managment изолированно. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
man781 Posted November 29, 2015 а не помогает от всего этого? : dhcp snooping arp inspection arp rate limit loop detection и тому подобные рючешки? И даже если потеряли управление на время (не часто нужно управление на домовом свиче вот прям щас) - юзерский трафик то все равно по идее в это время форвардится. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
pppoetest Posted November 29, 2015 а не помогает от всего этого? : dhcp snooping arp inspection arp rate limit loopback-detection и тому подобные рючешки? Сколько займёт времени настройка этих рюшечек? Я думаю всяко меньше, чем вынесение управления в отдельный влан/ы. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
man781 Posted November 29, 2015 эти рюшечки настроены изначально. Кстати - недавно нужно было на всех свичах изменить настройки игмп. Скрипт на баше + expect = очень помогает - запускаешь и идешь курить на пару часов. А вот адрес управления так просто поменять не получится... И много чего еще завязано. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
xcme Posted November 29, 2015 И даже если потрели управление на время (не часто нужно управление на домовом свиче вот прям щас) - юзерский трафик то все равно по идее в это время. Некоторые функции все равно реализованы программно. IGMP Snooping, DHCP Relay, Storm Control и т.п. вещи. Юзерский трафик будет ходить, но будет проблема с телевидением и получением IP-адресов. К тому же трафик, который летит прямиком на интерфейс коммутатора, имеет некоторый приоритет по отношению к остальному. Во всяком случае на проц он будет попадать, пусть даже ACL его в итоге дропнут. На D-Link не нашел способа защитить коммутатор собственными средствами и это при том, что управление в отдельном vlan. А если нет, то вообще беда. То есть либо вариант с управляющим влан и отсутствие маршрутизации туда для абонентов, либо вариант с управляющим влан и ACL на доступе для абонентов. Хоть коммутатор и не может спасти себя от флуда, но он может спасти соседей, в то время как соседи защищают его. Если имеете какие то странности на доступе и не всегда понятное поведение - выносите управление отдельно и результат вас приятно удивит. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
man781 Posted November 29, 2015 странности есть всегда ) конечно - если есть шанс их уменьшить - лучше уменьшить Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
alexaaa Posted November 29, 2015 Чем может реально грозить адрес управления в юзерском влане на свичах доступа (схема влан на дом)? Для ограничения доступа к свичу юзается сложный пасс и authentication ip access-class acl_name Вот так исторически сложилось. Свичей реально тысячи и переделывать не так уж и просто. Знаю, что это очень некрасиво - но чем реально плохо? что за дебилизм, управление свича выноситься в отдельный влан всегда, даже если у вас их тысячи, можно по 20 штук реально перенастроить в день. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
man781 Posted November 29, 2015 Это и Капитану Очевидность ясно - что нужно выносить управление. Вопрос даже не об этом стоит. Вопрос топика про РЕАЛЬНЫЕ грабли. Просто это интересно. Вот Вы напишите конкретные реальные грабли из вашей жизни, а не теоретические предположения. Или у всех сразу было сделано правильно и никто даже и не знает реальные грабли.... Просто у меня управление в юзерском влан - и вроде с большего все работает. А там хз... Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
xcme Posted November 29, 2015 (edited) Вот Вы напишите конкретные реальные грабли из вашей жизни, а не теоретические предположения. Конкретно это выглядит так: коммутатор недоступен или безбожно тормозит по неизвестной причине. Когда его отпускает и доступ появляется, то измерять там уже нечего. Почесали репу, пожали плечами и забыли. И тут речь даже не о предположениях, а об понимании общих принципов работы. Не обязательно СНАЧАЛА наступать на грабли, а потом устранять их. Можно ведь и заранее их спрятать. =) p.s. Бывает еще карта "мигает". Свичик не ответил на арп из-за давления на проц - время жизни на роутере устарело и коммутатор отметился "упавшим" на карте. А на следующий арп уже есть ответ и свичик "поднимается". Edited November 29, 2015 by xcme Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
pppoetest Posted November 29, 2015 Или у всех сразу было сделано правильно и никто даже и не знает реальные грабли.... Именно, я месяца три интернеты штудировал, прежде чем что-либо начинать строить. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
man781 Posted November 29, 2015 все понял. всем спасибо Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
Negator Posted November 29, 2015 а еще есть snmp, которое тоже включено наверняка. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
