異步路由、單播泛洪產生的安全偵聽風險
阿新 • • 發佈：2019-03-07
src 堆疊 com 其他 核心交換機 風險 con font 1.2
存在於經典網絡架構中的一個信息竊取風險
背景：核心交換機和其他IDC用三層互聯，和接入交換機運行二層網絡。核心交換機運行VRRP做本IDC內網網關（左邊為主，右邊為備）。現有其他IDC需訪問本IDC內10.1.1.1
拓撲：
流量走向：
入向流量：
1、目的為10.1.1.1的流量到達右邊核心交換機
2、右邊核心交換機查看本機MAC地址表匹配目標MAC，結果發現查不到，於是在同vlan內泛洪此流量
3、同vlan內10.1.1.1與10.1.1.2都收到此流量
出向流量：
4、10.1.1.1查路由表，發現內網網關為核心交換機，此時左邊核心交換機為 VRRP主，故ARP解析將左邊交換機MAC解析為網關地址
5、流量交給左邊交換機，左邊交換機根據三層路由表將數據直接傳出去
產生問題：右邊核心通過泛洪將數據包發給了vlan內所有的服務器，那麽只要拿到這個vlan內任意一臺服務器的權限就可以嗅探到到達此vlan的所有包
問題原因：由於回包不經過右邊交換機，所以右邊交換機永遠學不到10.1.1.1的MAC。學不到MAC就要在同vlan內泛洪。（單播泛洪）
解決方案：
1、核心交換機做堆疊
2、在交換機無關端口開啟阻塞端口泛洪。（SW(config-if)#switchport block unicast）
3、采用全三層組網結構
異步路由、單播泛洪產生的安全偵聽風險