Le Port-security (CISCO)
Article de blog | Finger In The Net
Le Port-security (CISCO)
- Nombre de lecteurs : 4507
- Rédigé par : Noël NICOLAS
Afin de sécuriser l’accès physique à notre réseau, nous pouvons utiliser deux méthodes :
- Port-security (Sécurisation de nos ports via adresse MAC)
- Port-based authentication (Sécurisation de nos ports via le protocole 802.1x)
Fonctionnement du port-security
Une adresse MAC est une adresse qui permet d’identifier une carte réseau. Cette adresse est UNIQUE au monde. On va donc utiliser ces adresses pour autoriser ou non un client sur un port.
Il existe trois types de réactions si un client se présente avec une adresse mac non autorisée :
- Shutdown : Le port va se mettre en mode ERR-DISABLE. Il doit y avoir une action humaine pour remettre ce port en état de fonctionner (“shutdown” / “no shutdown” sur l’interface en question). Le switch garde une trace de cette violation.
- Restrict : Le port va dropper toutes les trames reçues par cette adresse MAC. Il traitera toujours les trames possédant une adresse MAC autorisée. Le switch garde une trace de cette violation.
- Protect : Identique au mode “restrict” sauf que le switch ne garde pas la trace des violations de sécurité.
CONFIGURATION du port-security
Activation du “port-security”
Sw(config)# interface FastEthernet 0/1
Sw(config-if)# switchport mode access (obligatoire) Sw(config-if)# switchport port-security
Méthode d’apprentissage Statique
Sw(config-if)# switchport port-security mac-address 0000.0000.0001 Sw(config-if)# switchport port-security mac-address 0000.0000.0002 Sw(config-if)# switchport port-security mac-address 0000.0000.0003 etc ..
Méthode d’apprentissage Dynamique
Sw(config-if)# switchport port-security mac-address sticky Sw(config-if)# switchport port-security maximum 10
10 adresses MAC vont être apprises dynamiquement par le Sticky.
Violation
Sw(config-if)# switchport port-security violation [shutdown|restrict|protect]
Dépannage du port-security
Switch# show port-securityCette commande affiche l’état des ports utilisant le “port-security”
Switch# show interfaces status err-disabledCette commande nous montre les ports en mode “err-disable“. Pour remettre un port “err-disable” en état de fonctionner, retirer l’équipement non autorisé du port puis faite :
Switch(config)# interface FastEthernet X/X Switch(config-if)# shutdown Switch(config-if)# no shutdown
Faiblesse du port-security
Le port-security sécurise l’accès à notre réseau via l’adresse MAC. Cette adresse MAC est changeable facilement …
Afin de prouver la faiblesse de cette sécurisation, mettons-nous à la place d’une personne malveillante.
Exemple: Une personne malveillante veut se connecter à notre réseau. Il va donc devoir prendre la place de quelqu’un afin d’être sûr que le port soit ouvert et d’être dans un Vlan fonctionnel. Pour ce faire il va débrancher un client du réseau afin de faire un point à point avec ce dernier.
- Grâce au logiciel Wireshark, il va apprendre l’adresse IP et l’adresse MAC du client.
- Il va s’attribuer l’adresse IP du client.
- Il va s’attribuer l’adresse MAC du client grâce au logiciel Technitium.
Il ne reste plus qu’à se connecter au réseau et le tour est joué !!
Conclusion
Le port-security est une méthode qui permet de sécuriser l’accès au réseau.
Ce n’est pas la meilleure, mais c’est mieux que rien !
Cette solution est facile à mettre en oeuvre. Un utilisateur lambda ne va pas se donner la peine de chercher une solution pour se connecter illégalement à votre réseau. Une personne mal intentionnée va prendre 5 minutes pour s’y connecter.
Pour un réseau sensible , tournez-vous vers le “Port-Based Authentication“
Sur le même thème
Merci de votre soutien et de votre fidélité ! Ce site existe grâce à vous et je ne vous remercierais jamais assez !
Noël NICOLAS
Auteur de l'article
Expert Réseau
15 ans d’expérience
CCNP Routing and Switching
Fondateur du site FingerInTheNet
Eric JOUFFRILLON
Co-auteur de l'article
Expert SATCOM
Technicien Réseau
17 ans d’éxpérience déploiement réseau SATCOM
Spécialisé LFN (Long Fat Network).Diffusion vidéo et QOS.
CURSUS DE FORMATION
Administrateur Réseau
Présentation
Les protocoles
En pratique
Les options
Présentation
Les bases
Les tables OSPF
La Sécurité
Autres
Présentation
Les échanges
Choix de la route
Choix du masque
Sécurité