Що потрібно зробити, щоб у Ваших комутаторах замовкнути про вимикачі Cisco та Juniper?

Наприклад, не дозволяючи йому надсилати arp, stp тощо, і якнайменше розкривати інформацію про решту мережі.

Прикладом використання випадку буде підключення до однорангової біржі.

Ви можете ознайомитись з посібником по налаштуваннях в Інтернеті в Амстердамі, щоб дізнатися, як замовкнути комутатори від різних постачальників.

На мій досвід, є постачальники, програмне забезпечення яких настільки погано, що їх обладнання ніколи не замовчується, наприклад, вони ARP видають кожен інтерфейс під час завантаження, або надсилають деякі при події підключення на порт. Ялівець, Cisco, Brocade можна заглушити з різним ступенем переконання, Екстремальні петлі все під час переходів EAPS.

Деякі речі, які слід відключити / врахувати:

• Протоколи відкриття (LLDP, CDP, FDP, "динамічне відкриття vlan")
• VTP, DTP
• STP (відключити для VLAN порт, в якому знаходиться порт)
• Мережеві екрани Ethernet або циклі (безкорисні на дуплексних носіях)
• Дивні речі, такі як DECnet MOP (тема іншого питання кілька днів тому)
• Майте окрему VLAN управління для власної IP-адреси комутатора
• Ви захочете відключити прослуховування PIM на Cisco, оскільки це порушує IPv6.

Тут входять комутатори, такі як серія Metro-E від Cisco, за замовчуванням всі порти нижче за течією працюють у режимі UNI, а це означає, що вони не надсилають CDP, STP або будь-які кадри взагалі з інших портів UNI.

Ще одна річ, яку ви можете подивитися, це приватні VLAN, а потім вимкнення таких речей, як CDP.

Ви можете шукати в cisco-nsp @ для різних пропозицій щодо включення / відключення портів. Наприклад, почніть тут:

http://www.gossamer-threads.com/lists/nanog/users/124659?do=post_view_threaded

Залежно від конкретного комутатора Cisco - Catalyst або Nexus, ви також можете пошукати cisco.com для конкретних дизайнерських практик. Наприклад, для Catalyst 6500:

http://www.cisco.com/uk/US/products/hw/switches/ps708/products_white_paper09186a00801b49a4.shtml

також варто переконатися, що ви прибилися .1q / позначення переговорів http://www.curtis-lamasters.com/cisco-switching-switchport-nonegotiate/

у Cisco є опція "захищений комутатором", яка може забезпечити базовий захист L2 між портами. Жоден трафік не може обмінюватися між захищеними портами. Однак вони можуть надсилати та отримувати трафік до / із незахищених портів.