Switch co neznamy trafik nerozesle, ale zahodi ?

viktornovotny

Neznate nekdo switch, ktery by umel zahodit trafik od ktereho mac nema v tabulce. Proste aby ten neznamy trafik zahodil misto toho aby ho bezhlave poslal do vsech portu ?

Diky

hapi

a neumí nějaký L2 switche nastavit pevnou mac tabulku? Myslim že jsem to u nějakýho TL-Linka viděl. Nebo spíš to bylo v souvislosti s tím, že tahle mac bude na tomhle portu a další se nebudou učit.

viktornovotny

ne ne to nemyslim ... ja bych rad aby se normalne ucil vsechny macy co tim prolezou ... ale prave zpetny trafik s cilovou mac co by nemel v sobe registrovanou (tedy pozadavek vubec neprosel pres neho) ... tak aby tedle trafik vyhodil .. chapes ?

maxik

to snad umi kazdy lepsi switch treba cisco, to je rekl bych zakladni obrana proti utoku.

viktornovotny

tak to me prosimte jmenuj nejake modely ... ja jsem zatim bohuzel zadny takovy nenasel, teda krom cisca za vic jak sto litru :(

proste potrebuji aby se choval jako normalni switch - tedy ucil se macy - smeroval trafik tam kam tedy podle maca patri ... ale kdyz prijde trafik co ma ciloveho maca, ktereho ten switch nezna, tak ne ze posle tento trafik vsude (jako vetsina switchu), ale proste ho vyhodi a nikde ho neposle.

diky

maxik

mel jsem tu cisco catalyst 2950 asi a rekl bych ze neco takoveho tam nastavit slo a to je uz pekne starej kram.

net_work

to mas hranicni switch /router, nebo nekde dale v siti?

viktornovotny

to Maxik a neznas ted neco konkretniho aktualniho co to umi ?

to net.work jde o switch na bode ... znas nejaky vhodny k tomuto ucelu ?

net_work

Bohuzel v tom ti neporadim, pac nepouzivam L3 switche... Jen me napadlo kdyby to byl hranicni switch, tak ze je asi neco spatne, pac NAT kontroluje odchozi a prichozi spojeni ktere nikdy neodesli by nemel dovnitr vubec pustit... ale to je stejne na L3 vrstve takze asi nic... Kazdopadne to podle me na L2 neosetris, pac tohle je proste vlastnost switche....

viktornovotny

to net.work - vsak prave o tu vlastnost switche me jde ... to jsou same zmetky co posilaji vsechno vsude ? to se nenajde rozumny switch, ktery by umel ty "sracky" zahodit ?

net_work

to net.work - vsak prave o tu vlastnost switche me jde ... to jsou same zmetky co posilaji vsechno vsude ? to se nenajde rozumny switch, ktery by umel ty "sracky" zahodit ?

Jak to muze zahodit? ten switch (pokud nema nejaky WAN port, na ktery by aplikoval nejaka pravidla) preci nemuze vedet ze to co tam nekdo posle jsou "dobre" nebo "spatne" data.... Jak by si pak vyrvoril jinak MAC tabulku? Proste prijde mu na port neco z MAC ktere nema v databazi = rozesila na vsechny porty... tohle je zakladni princip switche...

hapi

pokud si dobře pamatuju, tak switch neposílá všechno všude ale posílá jenom nějakej požadavek s tim že někoho hledá a pak až posílá data a ty posílá už přímo k cíli. Ovšem i začátek komunikace z PC probíhá tak že se pošle ARP dotaz takže cesta už je připravená a jedniný co běží celou sítí je ARP.

Můžeš popsat situaci kdy se stane to, čemu chceš zabránit?

viktornovotny

dobre popisu problem .... switch si vytvari spravne tabulku z toho ze pres nej jdou pozadavky a tim si uklada macy k portu z ktereho pozadavek prisel ... aby prave ten zpetny trafik poslal tam kam patri ......... noo ale co kdyz prijde zpetny trafik na pozadavek, ktery neprisel skrze tento switch (tudiz tento switch nemam maca v tabulce) ? Pak udela tu kravinu, ze tento trafik fakt posle vsude. Takze to je kazdy switch takovy kreten, ze proste nemuze vyhodit to co pres nej nemelo pozadavek ?

menge

to co pises je riadna kravina. jak sa ma switch ucit nove mac , ked to zaroven ma zahodit?

viktornovotny

to menge - co to meles ? macy se uci prece pri arp pozadavku ... nikoli pri ZPETNEM trafiku, ktery uz jen podle nauceneho macu zaradi do portu.

hapi

a seš si tak uplně jistej? By asi nemohlo fungovat když na serveru vypnu ARP a nechám statickou mac tabulku a switch by to v tom případě posílal všude čili hub.

viktornovotny

dobre, ale rekni me teda, jak vyhodim trafik co pozadavek o nej neprisel skrze ten switch ? to prece musi jit osetrit ... ? nebo me chces tvrdit, ze udelem switche je sirit bordel ? prece musi byt jasne specifikovatelne, ze trafik o ktery nikdo skrze ten switch nepozadal nemuze jit prece zpet timhle switchem ?

hapi

tak on nešíří bordel ale pouze broadcast do všech portů. Ať přemejšlim jak přemejšlim, tohle asi nepude "ošetřit". Leda něco pohledat o IGMP Snooping nebo Multicast snooping.

viktornovotny

ale tu se nejedna o broadcast ani multicast ... toto ma jasne dane macy ... tedy vychozi mac je brana a destinacni mac je klios, ale bohuzel klios, ktery je uplne od jinud :( takze proto chci aby tento switch jeho zpetny trafik vyhodil ...

net_work

tak ono cele to chovani toho switche je docela dost podivne... hapi to rika spravne - switch , pokud nezna nejaky MAC, tak rozesila nejdrive broadcasty s tim ze se dotazuje na kterem portu najde tu danou MAC a az pak posila ty dane data. To ze ti ten switch ten bordel posle hned a vsude je zvlastni, takhle by to fungovat urcite nemelo. Ale mozna bych zacal uvazovat trosku jinak - jak je mozne ze vubec k tomu switchi dojde nejaky trafic, co tam vubec nema co delat? nebude jednodusi osetrit to nekde pred nim, na nejakem routeru? napada me, pokud mas dynamicke routovani, nemuzes se cas od casu stat ze se ti zmeni automaticky nejaka routa v siti a pak nejaky ten trafic prijde na ten switch?

Další stránka »