华为认证课程-近期新班热招
前言：
随着网络技术的不断发展，网络安全问题日益突出。作为网络核心设备的交换机，其安全性直接关系到整个网络的稳定运行。以下是针对华为S系列交换机的安全加固解决方案，旨在提升网络的安全性和可靠性。
一、访问控制策略
1.配置基于IP地址的ACL控制策略
具体命令示例：
system-view[Switch] acl 2000[Switch-acl-basic-2000] rule permit source 192.168.1.0 0.0.0.255[Switch-acl-basic-2000] quit[Switch] traffic classifier c1[Switch-classifier-c1] if-match acl 2000[Switch-classifier-c1] quit[Switch] traffic behavior b1[Switch-behavior-b1] permit[Switch-behavior-b1] quit[Switch] traffic policy p1[Switch-trafficpolicy-p1] classifier c1 behavior b1[Switch-trafficpolicy-p1] quit[Switch] interface gigabitethernet 1/0/1[Switch-GigabitEthernet1/0/1] traffic-policy p1 inbound[Switch-GigabitEthernet1/0/1] quit
2.基于MAC地址的ACL控制策略。
具体命令示例：
system-view[Switch] acl 4000[Switch-acl-adv-4000] rule permit source-mac 0001-0002-0003 ffff-ffff-ffff[Switch-acl-adv-4000] quit[Switch] traffic classifier c2[Switch-classifier-c2] if-match acl 4000[Switch-classifier-c2] quit[Switch] traffic behavior b2[Switch-behavior-b2] permit[Switch-behavior-b2] quit[Switch] traffic policy p2[Switch-trafficpolicy-p2] classifier c2 behavior b2[Switch-trafficpolicy-p2] quit[Switch] interface gigabitethernet 1/0/1[Switch-GigabitEthernet1/0/1] traffic-policy p2 inbound[Switch-GigabitEthernet1/0/1] quit
实际案例分享：在某个大型企业的网络环境中，通过配置基于IP地址的ACL控制策略，成功限制了特定网段的访问权限。例如，只允许192.168.1.0/24网段内的主机访问关键服务器，有效防止了未授权设备的接入。此外，基于MAC地址的ACL策略也在某学校网络中得到了应用，通过精确控制接入设备的MAC地址，确保了网络资源的合理分配和使用。
二、SNMPv3用户配置
配置SNMPv3用户创建用户名为v3user，归属于v3group组，认证算法为HMAC-SHA-96，认证密码为YsHsjx_202207，加密算法为AES-256，加密密码为YsHsjx_202206，关联ACL 2001。
具体命令示例：system-view
[Switch] snmp-agent usm-user v3 v3user v3group[Switch] snmp-agent usm-user v3 v3user authentication-mode hmac-sha-96 YsHsjx_202207[Switch] snmp-agent usm-user v3 v3user privacy-mode aes-256 YsHsjx_202206[Switch] snmp-agent usm-user v3 v3user acl 2001
检查加固结果执行命令display current-configuration | include snmp，查看当前SNMP配置。
实际案例分享：某金融机构的网络管理团队通过配置SNMPv3用户，加强了对网络设备的监控安全性。采用高强度的认证和加密算法，确保了网络管理信息在传输过程中的保密性和完整性，防止了未经授权的访问和篡改。
三、Sticky MAC功能配置
配置Sticky MAC功能进入接口GE1/0/1的配置页面，使能端口安全功能，配置Sticky MAC功能，并设置最大MAC地址数为5。
具体命令示例：
system-view[Switch] interface gigabitethernet 1/0/1[Switch-GigabitEthernet1/0/1] port-security enable[Switch-GigabitEthernet1/0/1] port-security mac-address sticky[Switch-GigabitEthernet1/0/1] port-security max-mac-num 5[Switch-GigabitEthernet1/0/1] quit
检查加固结果执行命令
display mac-address securit //查看安全动态MAC表项、display mac-address sec-config //查看配置的安全静态MAC表项display mac-address sticky，//查看Sticky MAC表项
实际案例分享：在某数据中心，通过启用Sticky MAC功能，有效防止了非法设备的接入。当非法设备试图接入网络时，由于其MAC地址未被记录，系统会自动将其阻止，从而保障了网络的稳定运行和数据的安全性。
四、畸形报文攻击防范
畸形报文攻击防范使能畸形报文攻击防范功能（缺省情况下，该功能处于使能状态）。
具体命令示例：
system-view[Switch] anti-attack enable[Switch] anti-attack defend abnormal
检查加固结果执行命令
display anti-attack statistics abnormal //查看畸形报文攻击防范的统计数据。
五、分片报文攻击防范
分片报文攻击防范使能分片报文攻击防范功能（缺省情况下，该功能处于使能状态），并设置分片报文的接收速率为8000bit/s。
具体命令示例：
system-view[Switch] anti-attack defend fragment[Switch] anti-attack defend fragment threshold 8000
检查加固结果执行命令
display anti-attack statistics fragment //查看分片报文攻击防范的统计数据。
六、TCP SYN泛洪攻击防范
TCP SYN泛洪攻击防范配置TCP SYN泛洪攻击防范功能，设置相应的连接速率限制。
具体命令示例：
system-view[Switch] tcp syn-flood defend source-ip check[Switch] tcp syn-flood defend connection-rate 500
检查加固结果执行命令
display tcp syn-flood statistics //查看TCP SYN泛洪攻击防范的统计数据。
实际案例分享：某游戏服务提供商的网络曾频繁遭受TCP SYN泛洪攻击，导致服务中断。TCP SYN泛洪攻击是一种常见的网络攻击方式，攻击者通过发送大量虚假的TCP连接请求，消耗网络资源，使合法用户无法访问服务。面对这一问题，通过配置TCP SYN泛洪攻击防范功能，有效识别并拦截恶意连接请求。同时，还设置了合理的连接速率限制，对正常用户的连接请求进行保护，避免误伤。经过这些调整，网络成功抵御了此类攻击，保障了游戏服务的稳定运行，提高了用户体验和满意度。
