设置交换机的侦听口以监视网络会话

《设置交换机的侦听口以监视网络会话》由会员分享，可在线阅读，更多相关《设置交换机的侦听口以监视网络会话（9页珍藏版）》请在金锄头文库上搜索。

1、设置交换机的侦听口以监视网络会话以前公司里用HUB的时候，可是非常幸福哦，我随便开一个IRIS就能监视整个公司里 的网络数据包，能很方便和清楚的看到大家都在做什么，简直就是没有秘密可言了。后来玩 IDS测试SESSIONWALL的时候我用URL的预先阻断功能，就能做到想黑那里就黑那里的 假像，后来很多人纷纷效仿把公司网络简直搞的是一团糟糕。总结一下就是基于HUB的网 络安全性能实在是非常低，而且几乎没有什么可管理性。如果您正在筹划一个新的网络结构， 我强烈建议采用交换机代替HUB来实现（当然费用的差距也必须考虑）。采用交换机的网络基本上就没有可被监听的危险了，但是前提就是交换机也必须好好 配置

2、和管理，否则把买来的设备用默认状态摆在那里也是很危险的。还是以我们公司为例子 好了。我们用的是3C0M的3300的交换机24 口的那种，我简单的把我的网络接口配置成 了一个侦听接口，还是可以轻松的监听整个网络的数据包，下面简单的介绍下步骤。说明下 就是现在的网络监视软件如 IDS 和信息审计系统等等都是需要把自己的网络接口在交换机 上设置为侦听口的，否则是没有办法正常监视网络流量的。首先是用串口从后面接上交换机给设备设置一个IP地址，这个可以随便设置当然和我 们在一个网段是最方便的了。然后默认情况下3COM的WEB服务就是打开的我们可以用 IE 登陆上去。默认的口令和用户名我们可以用：secu

3、rity登陆这是3COM设备的一个默认管理帐号，很多 人都没有改有意思的是我在互联网上用SNMP扫描找到的3COM交换机99%用这个帐号都 可以进去。成功通过验证后我们就可以看到如上的管理界面了，感觉 3300的管理界面做的还是不错的。简单易用，功能还很强大，听说4400 更厉害可惜还没有用过。我们点击左面的configuration选项，再从右边出来界面中选择Roving AnalysisPort。这个 界面就是配置交换机侦听口的地方了。当然你如果实现知道自己的网络接口接在交换机那个 口上就比较方便可以直接配置了，如果你不知道的话可以点击Advanced Stack Setup这里 来查看当

4、前IP地址和交换机端口的对应关系。从上面界面中，很方便的可以查看这个交换机一共有多少个接口 VLAN 以及对应的 MAC 地址都是什么。看到没有上面00:00:59:59:2e:OO对应的第9个口就是接的我的计算机上面的地址是我的网-01x1卡的MAC地址，记住这个下面就可以把父换机上第9 口设置为整个父换机的侦听口了。Analysis Port: Unit 1 Port 9Available Analysis PortsFvlonitor Port: Unit 1 Port 1Available Monitor PortsRoving Analysis State: EnabledRovin

5、g Analysis SetupSwitch 3300Apply |e n .It.It.It.It.It.It.It.It INOlunlunlunlunlunlunlunluno23456781rrrrrrrr oooooooo ppppppppt unineItItItItItItItIt INOlunlunlunlunglunglun3业3comSUPER STACKVLANs | Switch Dmtabmse | Software Upqrmde | Roving Analysis Port | Resilient Links | Reset | Port Trunks | Ini

6、tialize | Ach/anced Stack SetiJDManaaementSettinasHealtho 23456781 tttttttt rrrrrrrr oooooooo pppppppp搜索 圉收藏夹 进1媒钵c E地址(0) |約 http:/192.168.7-121总转到链接文件(0編辑(或查看(V)收藏(助工具(I)帮助(出3 Switch 3300: Unit 1 - Microsoft Internet Explorer或完毕 Internet回到刚才的Roving Anaysis Port设置地方，在左面的Available Monitor Ports里面选择U

7、nit 1 Port 1代表选择交换机PORT1上的流量内容，3C0M的交换机目前还不支持一对多的监 听所以只能是一对一的来监听，但是有个小窍门只要选择交换机和上层路由器或者是交换机 相连的那个口就可以最大限度的来监视整个网络的会话情况了，这里我选择的PORT1就是 交换机的数据出口。右边的Available Analysis Ports选择我们刚才看到自己的Port 9然后在 STATE里面选择Enabled就可以了。打开 IRIS 又可以监视整个网络中的报文了，正好看到一个同事的计算机在疯狂的发送 445 和80的数据包，一看目的IP都是随机的肯定又是中了 NIMUDA 了，赶快通知他杀毒

8、避免 了部门里其他同事的受害，是不是很有成就感。这是3COM的交换机下面的简单的把CISCO的设置办法也帖出来，国内目前这两种设备 用的算是比较多的了。所谓侦听端口是指这样一个端口，所有通过被侦听端口的流量都会被自动复制一份传至 该端口，缺省的情况下交换机上的这种功能是被屏蔽(Disable )的。如果需要可以手工设置。 见下图。Egress TrafficSource Spanports离开交换机的流量 进入交换机的流量 被侦听端口所有配置为被侦听口或被侦听 vlan 的列表Egress Traffic:Ingress Traffic:Source Span ports:Destinatio

9、n Span Port: 侦听端口Administrative Source :一、Cisco Catalyst 4000, 5000, and 6000 Series 系列交换机，有关设置侦听端口的命令由一系列 set span 命令组成。switch (enable) set spanUsage: set span disable dest_mod/dest_port|allset span rx|tx|both inpkts 注： src_mod 是指被侦听的端口号； src_ports 是指被侦听端口所在的模块号； dest_mod，是指侦听端口号；dest_port是指侦听端口所在的

10、模块号；src_vlan是vlan名， 表示属于该vlan的端口都是被侦听端口； rx是指只侦听接收的包；tx是指只侦听发送的包； both 是指侦听收、发双方向的包。 配置过程如下：1、使用基于端口的侦听方式：switch (enable) set span enableswitch (enable) set span 6/1，6/3 6/22000 Sep 05 07:17:36 %SYS-5-SPAN_CFGSTATECHG:local span session inactive for destination port 6/2Destination : Port 6/2Admin So

11、urce : Port 6/1,6/3Oper Source : Port 6/1,6/3Direction : transmit/receiveIncoming Packets: disabledLearning : enabledMulticast : enabledFilter : -Status : activeswitch (enable) 2000 Sep 05 07:17:36 %SYS-5-SPAN_CFGSTATECHG:local span session active for destination port 6/2这条命令执行后，端口6/2 设置为侦听口，端口6/1，6

12、/3 设置为被侦听口。接在 端口 6/2上的机器将能接收到通过端口6/1，6/3的所有流量。2、使用基于 vlan 的侦听方式： switch (enable) set span enable switch (enable) set span 2,3 6/22000 Sep 05 07:40:10 %SYS-5-SPAN_CFGSTATECHG:local span session inactive for destination port 6/2Destination : Port 6/2Admin Source : VLAN 2-3Oper Source : Port 6/3-5,15/1

13、 Direction : transmit/receive Incoming Packets: disabledLearning : enabled Multicast : enabledFilter : -Status : activeswitch (enable) 2000 Sep 05 07:40:10 %SYS-5-SPAN_CFGSTATECHG:local span session active for destination port 6/2这条命令执行后，端口 6/2设置为侦听口，属于vlan 2, 3的所有端口设置为被侦听 口。接在端口 6/2上的机器将能接收到通过属于vla

14、n 2，3的端口的所有流量。3、可以使用命令 Switch(enable) show span 来查看设置的结果： switch (enable) show spanDestination : Port 6/2Admin Source : Port 6/1Oper Source : Port 6/1 Direction : transmit/receive Incoming Packets: disabledLearning : enabled Multicast : enabledFilter : -Status : active注：侦听口与被侦听口可以不属于同一个 vlan。、Cisco

15、Catalyst 2900XL/3500XL/2950 系列交换机，配置命令为：Switch(config-if)#port monitor interface注： interface 是指侦听端口。举例：我们要将接口 FaO/1设置为侦听口，FaO/2及FaO/5设置为被侦听口，基本 过程如下：1、在配置模式下，首先选择接口 FaO/1:Switch(config)#int fa0/1输入被侦听端口：Switch(config-if)#port monitor fastEthernet 0/2Switch(config-if)#port monitor fastEthernet 0/5 指定管理端口：Switch(config-if)#port monitor VLAN 1这条命令并不意味着接口 FaO/1将侦听vlan 1的所有端口，它只是用来指定管理接 口。退出保存后，接口 FaO/1设置为侦听口，接口 FaO/2,FaO/5设置为被侦听口。连接在 接口 FaO/1上