Cisco Switchlerde Port Güvenliği ve Port Güvenliği Yapılandırması. İşletmelerin ağlarına yetkisiz girişleri engellenmesi, veri hırsızlığının önlenmesi ve ağ kaynaklarının verimli bir şekilde kullanılması, başarılı bir ağ güvenlik stratejisinin temel hedefleridir. Cisco Switch cihazı ağ güvenliği için gelişmiş güvenlik özellikleri sunmaktadır. Bunlardan biriside, Port-Security yapılandırmasıdır. Port-Security (Port Güvenliği) özelliği nedir? Ağınızdaki yetkisiz erişimleri sınırlamak için etkili bir yol sunar. Port-Security, bir switch portuna bağlanan cihazların sayısını ve tipini sınırlar, böylece yalnızca yetkilendirilmiş cihazların ağa erişebilmesini sağlar. Sizin tanımlamanız dışında, ağ yapısına dahil olmaya çalışan yeni MAC adresi bilgisayarın erişimini engeller.
Port-Security Yapılandırması:
Konuya giriş yapmadan önce Cisco Paket Tracer üzerinden yapılandırdığımız örnek görselimize göre, ağımıza ekli PC1 ve PC2 isimli cihazlarımız vardır. Bu cihazların MAC adresini takılı olduğu Cisco porta tanımlayacağız. Ağımıza dahil olmak isteyen ve tanımlı olmayan MAC adresli notebook kullanıcısı, network kablosunu kendi bilgisayarına taktığımda, port blok atacak ve portu kapatacak şekilde ayarlayacağız.
Her zaman olduğu gibi, Cisco switchimize giriş yapalım ve yapılandırma moduna geçelim
- Switch>enable
- Switch#configure terminal
- Switch(config)#interface range fastEthernet 0/1-24 (Bu komutla Port-Security özelliğini switchte aktif ediyorum. Switch üzerinde ki bütün (24’lü Switch) portlara Port-Security aktif etmek için “range” komutunu yazarak giriyorum. Eğer bir porta yapacaksanız, range girmeden fastEthernet veya gigabitEthernet şeklinde sadece port numarasını yazarak, sadece o porta tanımlayabilirsiniz.
- Switch(config-if-range)#switchport mode access (Bu komutla bütün portları access mode çekiyoruz)
- Switch(config-if-range)#switchport port-security (Bu komut ile switch üzerinde ki Port-Security özelliğini etkinleştirmiş oluyoruz.
- Switch(config-if-range)#switchport port-security mac-address sticky ( Bu komut ile, mevcut takılı olan cihazların MAC adreslerini otomatik öğrenmesini sağlıyorum. İsterseniz “sticky” yerine bilgisayarın MAC adreslerinide yazabilirsiniz. Ancak cihaz çokluğundan dolayı bu zahmetli iş olacaktır. “Sticky” ile otomatik MAC trafiğini tanımlaması daha pratik olacaktır.
- Switch(config-if-range)#switchport port-security maximum 1 (Bu komut ile, port üzerinde en fazla bir adres öğrenmesini istiyoruz.)
- Switch(config-if-range)#switchport port-security violation shutdown (Bu komut ile, ihlal olduğunda portu kapanmasını istediğimiz için bu komutu giriyoruz.
- Switch(config-if-range)#end
- Switch#write
Port-Security yapılandırmamız bitti. Switche; Switch#sh mac-address-table komutu girerseniz, tanımlanan cihazların MAC adresini listeleyebilirsiniz. Bu komut sonrası ekran boş gelirse, iç yapınızda herhangi bir cihaza PİNG atarak, trafiği tanımlamasını sağlayabilirsiniz.
Switch#sh mac-address-table Örnek;
Vlan Mac Address Type Ports
—- ———– ——– —–
- 1 0001.423b.a0c6 STATIC Fa0/3
- 1 0090.0c38.b20a STATIC Fa0/1
Switch#show port-security interface fastEthernet 0/1 Bu komutu yazarak, 1.ci Portun Port-Security yapılandırma içeriğini görüntüleyebilirsiniz.
Switch#show port-security interface fastEthernet 0/1 Örnek;
- Port Security : Enabled
- Port Status : Secure-up
- Violation Mode : Shutdown
- Aging Time : 0 mins
- Aging Type : Absolute
- SecureStatic Address Aging : Disabled
- Maximum MAC Addresses : 1
- Total MAC Addresses : 1
- Configured MAC Addresses : 0
- Sticky MAC Addresses : 1
- Last Source Address:Vlan : 0090.0C38.B20A:1
- Security Violation Count : 0
Örnek görselimize göre, PC1’de takılı olan network kablosunu çıkartıp Laptop bilgisayarımıza taktiğimizda, Switchin 1 portunun kapantığını “err-disabled” olarak kapandığını göreceksiniz. Port durumlarını listeleyip görmek için; Switch#show interfaces status komutunu girebilirsiniz.
Switch#show interfaces status Örnek;
- Port Name Status Vlan Duplex Speed Type
- Fa0/1 err-disabled 1 auto auto 10/100BaseTX
- Fa0/2 notconnect 1 auto auto 10/100BaseTX
Kabloyu tekrar bilgisayarımıza taktığımızda, port kapandığı için ağ yapısına dahil olmadığını ve local IP almadığını göreceğiz. Portu tekrar açmak için Cisco Switchimize şu komutları girmeliyiz.
- Switch(config)#interface fastEthernet 0/1 (Birinci port kapandığı için, port 1’in içine giriyorum
- Switch(config-if)#shutdown (İlk önce portu kapatıyorum)
- Switch(config-if)#no shutdown ( Bu komutla, Tekrar portu açıyorum)
- Switch(config-if)#end
- Switch#write
Switch portu tanımlı MAC adresini görecek ve network yayını tekrar paylayacaktır. Cisco Switchte portların security yapılandırmasını listelemek isterseniz; Switch#show port-security bu komutu girebilirsiniz.
Switch#show port-security Örnek;
