企业官网建设流程全解析

1. 局域网安全威胁全景图

刚接手公司网络时，我遇到过一个诡异现象：财务部的电脑突然集体断网，但ping网关却通着。后来抓包发现，整个VLAN里充斥着伪造的ARP报文。这种隐蔽的攻击正是局域网安全的典型威胁——攻击者不需要攻破防火墙，只要接入内网就能兴风作浪。

MAC地址攻击就像伪造身份证混入公司。去年某制造企业就遭遇过这类攻击，攻击者用Python脚本每秒生成上千个随机MAC地址，导致核心交换机的MAC地址表在30秒内爆满。结果呢？新员工电脑连上网络却无法通信，而攻击者趁机截取了生产系统的数据。

DHCP攻击更让人防不胜防。我曾亲眼见过攻击者用树莓派搭建的伪DHCP服务器，给客户端分配错误的网关地址。员工访问公司OA时，流量全被导到了钓鱼网站。最麻烦的是，这种攻击连VPN都无法保护——因为攻击发生在建立VPN连接之前。

ARP欺骗则是中间人攻击的"经典款"。安全团队做过实验：在未防护的局域网中，攻击者用Ettercap工具只需2秒就能让全网流量改道。金融行业特别怕这个——试想转账时收款账号被篡改的后果。

2. 端口安全：给交换机装上智能门禁

2.1 原理剖析

交换机的端口安全就像写字楼的访客管理系统。默认情况下，交换机端口允许任何MAC地址接入（就像门禁不验身份证）。开启端口安全后，每个端口都变成了需要刷卡进入的安检通道。

动态学习模式类似临时访客登记：

Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 5 Switch(config-if)# switchport port-security violation restrict

这段配置允许端口自动学习前5个MAC地址，超出数量则记录日志但不阻断（restrict模式）。适合会议室等临时接入场景。

静态绑定模式则是严格的VIP名单：

Switch(config-if)# switchport port-security mac-address 0050.7966.6800 Switch(config-if)# switchport port-security mac-address sticky

把MAC地址直接写进配置，就像给员工工牌授权。sticky参数特别实用——它能将当前连接的合法MAC自动转化为静态绑定。

2.2 实战踩坑

某次给医院部署时，我犯了个低级错误：没设置老化时间。结果护士站的移动设备轮换时，新设备无法联网。后来加了这条才解决：

Switch(config-if)# switchport port-security aging time 120 Switch(config-if)# switchport port-security aging type inactivity

这个配置让端口在2小时无活动后自动清除MAC记录。就像商场下班后清空当日访客名单，第二天重新登记。

违规处理策略有三种选择：

• shutdown：直接关闭端口（像拉响消防警报）
• restrict：仅记录不阻断（写进黑名单但放行）
• protect：静默丢弃（假装没收到数据）

金融客户通常选择shutdown模式，配合自动恢复功能：

Switch(config)# errdisable recovery cause psecure-violation Switch(config)# errdisable recovery interval 300

这样端口被攻击触发关闭后，5分钟会自动恢复，比手动重启交换机优雅多了。

3. DHCP监听：揪出内网"山寨营业厅"

3.1 部署要点

DHCP监听的核心是建立信任链。配置时一定要明确：

• 信任端口（连接合法DHCP服务器）
• 非信任端口（连接普通终端）

典型配置如下：

Switch(config)# ip dhcp snooping Switch(config)# ip dhcp snooping vlan 10,20 Switch(config)# interface gig1/0/1 Switch(config-if)# ip dhcp snooping trust

防饥饿攻击的关键是限速：

Switch(config-if)# ip dhcp snooping limit rate 30

限制每端口每秒最多30个DHCP请求。某高校曾因未设限速，被攻击工具耗尽IP池——攻击者每秒发送500个请求，比正常用户快50倍。

3.2 高级技巧

Option 82就像快递追踪系统：

Switch(config)# ip dhcp snooping information option

这个功能会在DHCP报文中添加交换机端口信息。当发现恶意请求时，能精确定位到具体接入端口。某次排查中，我们就是靠Option 82提供的信息，在机房找到了被黑客控制的物联网设备。

绑定数据库是防御体系的基石：

Switch# show ip dhcp snooping binding MacAddress IpAddress Lease(sec) Type VLAN Interface ------------------ --------------- ---------- ------------- ---- -------------------- 00:1A:2B:3C:4D:5E 192.168.1.100 86400 dhcp-snooping 10 Gig1/0/5

这张表会自动记录所有客户端的IP-MAC-端口绑定关系。建议定期备份，可与后续介绍的DAI联动。

4. 动态ARP检测：局域网里的"火眼金睛"

4.1 技术原理

DAI（动态ARP检测）就像ARP流量的"安检仪"。它会检查每个ARP报文是否符合DHCP Snooping绑定表或静态配置的合法对应关系。

启用步骤：

Switch(config)# ip arp inspection vlan 10 Switch(config)# interface gig1/0/24 Switch(config-if)# ip arp inspection trust

通常只需要在连接服务器的端口设为trust，其他接入端口保持默认的非信任状态。

4.2 配置细节

限速配置能防ARP洪泛攻击：

Switch(config-if)# ip arp inspection limit rate 15 burst interval 1

限制每秒最多15个ARP报文。某次攻防演练中，攻击者用Scapy工具每秒发送10万个ARP报文，未防护的交换机直接CPU飙到100%。

静态绑定适用于固定IP设备：

Switch(config)# arp access-list STATIC-ARP Switch(config-arp-acl)# permit ip host 192.168.1.1 mac host 0000.0c07.ac00 Switch(config)# ip arp inspection filter STATIC-ARP vlan 10

比如公司的打印机、IP电话等设备，适合用这种方式白名单管理。

5. 防御体系联动实战

5.1 企业网配置案例

某上市公司三网融合方案：

! 端口安全（接入层） interface Gig1/0/1 switchport mode access switchport port-security switchport port-security maximum 2 switchport port-security violation restrict switchport port-security aging time 60 ! DHCP监听（汇聚层） ip dhcp snooping ip dhcp snooping vlan 10,20 interface Gig2/0/24 ip dhcp snooping trust ! DAI（核心层） ip arp inspection vlan 10,20 ip arp inspection validate src-mac dst-mac ip

5.2 运维经验

• 排错顺序：先查端口安全→再查DHCP绑定→最后看ARP检测日志
• 典型日志：

  %SW_DAI-4-DHCP_SNOOPING_DENY: 1 Invalid ARPs (Req) on Gi1/0/15

  这种报警往往意味着有设备使用了静态IP但未登记
• 性能影响：全功能开启后，交换机CPU利用率通常增加5-8%，建议在业务低峰期部署