Portsicherheit

Das Gerät bietet Ihnen die Möglichkeit, jeden Port so zu konfigurieren, dass er unberechtigten Zugriff zu verhindern hilft. Abhängig von Ihrer Auswahl prüft das Gerät die MAC-Adresse oder die IP-Adresse des angeschlossenen Geräts.

Wenn das Gerät auf einem Port von einem unerwünschten Absender Datenpakete empfängt, führt es die für den Port festgelegte Aktion aus, z.B. Trap senden, Port ausschalten oder Auto-Disable.

Im Rahmen „Konfiguration“ stellen Sie ein, ob die Portsicherheit mit MAC- oder mit IP-Adressen arbeitet.

Tab. Konfiguration der Portsicherheit global für alle Ports

Name

Bedeutung

MAC-basierte Portsicherheit

Quell-MAC-Adresse der empfangenen Datenpakete prüfen.

IP-basierte Portsicherheit

Die IP-basierte Portsicherheit verwendet intern die MAC-basierte Portsicherheit.
Funktionsprinzip:
Wenn sie die Funktions konfigurieren, übersetzt das Gerät die eingegebene IP-Adresse in die entsprechende MAC-Adresse. Im Betrieb prüft es die Quell-MAC-Adresse der empfangenen Datenpakete gegen die intern gespeicherte MAC-Adresse.


In der Port-Tabelle stellen Sie für jeden Port die individuellen Parameter ein.

Bei der MAC-basierten Portsicherheit bietet das Gerät Ihnen die Möglichkeit, entweder die erlaubten MAC-Adressen konkret festzulegen oder die MAC‑Adressen automatisch zu erfassen.

Beim automatischen Erfassen „lernt“ das Gerät die MAC‑Adressen der Absender durch Auswertung der empfangenen Datenpakete. Sobald die benutzerdefinierte Obergrenze erreicht ist, führt das Gerät die festgelegte Aktion aus.

Das automatische Erfassen bietet Ihnen gegenüber dem konkreten Festlegen von MAC‑Adressen den Vorteil, dass Sie angeschlossene Endgeräte jederzeit ersetzen können, ohne die MAC-Adressliste im Gerät anzupassen.

Tab. Konfiguration der Portsicherheit pro Port

Name

Bedeutung

“Port”

Portbezeichnung durch Modul- und Portnummer des Gerätes, z.B. 2.1 für den Port eins des zweiten Moduls.

Port-Status

enabled: Port ist eingeschaltet und vermittelt.

disabled: Port ist ausgeschaltet und vermittelt nicht.

Der Port ist eingeschaltet, wenn
- mit einer erlaubten Adresse auf diesen Port zugegriffen wird
oder
- versucht wird, mit einer nicht erlaubten Adresse auf den Port zuzugreifen und unter "Aktion" trapOnly oder none angewählt ist.

Der Port ist ausgeschaltet, wenn
versucht wird, mit einer nicht erlaubten Adresse auf den Port zuzugreifen und unter "Aktion" portDisable angewählt ist.

Erlaubte MAC-Adressen

MAC-Adressen der Geräte, mit denen Sie einen Datenaustausch an diesem Port erlauben.

Die grafische Benutzeroberfläche bietet Ihnen die Möglichkeit, bis zu 50 MAC-Adressen, durch Leerzeichen getrennt, einzugeben. Nach jeder MAC-Adresse können Sie, durch einen Schrägstrich getrennt, eine Zahl zur Kennzeichnung eines Adressbereichs eingeben. Diese Zahl zwischen 2 und 47 kennzeichnet die Anzahl der relevanten Bits. Beispiel:
00:80:63:01:02:00/40 steht für
00:80:63:01:02:00 to 00:80:63:01:02:FF
oder
00:80:63:00:00:00/24 steht für
00:80:63:00:00:00 to 00:80:63:FF:FF:FF

Ohne Eintrag können beliebige Geräte über diesen Port kommunizieren.

Aktuelle MAC-Adresse

Anzeige der MAC-Adresse des Gerätes, von dem der Port zuletzt Daten empfangen hat. Die grafische Benutzeroberfläche bietet Ihnen die Möglichkeit, einen Eintrag aus der Spalte „Aktuelle MAC-Adresse“ durch Ziehen bei gedrückter Maustaste in die Spalte „Erlaubte MAC-Adresse“ zu kopieren.

Erlaubte IP-Adressen

IP-Adressen der Geräte, mit denen Sie einen Datenaustausch an diesem Port erlauben.

Die grafische Benutzeroberfläche bietet Ihnen die Möglichkeit, bis zu 10 IP-Adressen, durch Leerzeichen getrennt, einzugeben.

Ohne Eintrag können beliebige Geräte über diesen Port kommunizieren.

“Dynamisches Limit”

Legt die Obergrenze fest für die Anzahl automatisch erfasster Absender. Sobald die Obergrenze erreicht ist, führt das Gerät die in der Spalte “Aktion” festgelegte Aktion aus.

Mögliche Werte:

  • 0 oder  –  (Voreinstellung: –)

    Deaktiviert das automatische Erfassen der Absender auf diesem Port.

  • 1..50

    Obergrenze für das automatische Erfassen von Absendern. Passen Sie den Wert an die Anzahl der zu erwartenden Absender an. Damit erschweren Sie MAC-Flooding-Attacken.

“Dynamische Anzahl”

Zeigt, wie viele Absender das Gerät automatisch erfasst hat.

Aktion

Aktion, die das Gerät nach einem unberechtigten Zugriff ausführt.

Mögliche Werte:

  • none (Voreinstellung)

    Keine Aktion.

  • trapOnly

    Alarm verschicken.

  • portDisable

    Deaktiviert den Port. Danach blinkt die Port-LED auf dem Gerät 3 mal grün je Periode.

    Das Gerät re-aktiviert den Port, wenn Sie im Dialog Diagnose:Ports:Auto-Disable folgende Einstellungen festgelegt haben:

    • Im Rahmen “Konfiguration” ist das Kontrollkästchen für das auslösende Ereignis “Port-Sicherheit” markiert.

    • Der Reset-Timer ist für den Port > 0 festgelegt.

  • autoDisable

    Deaktiviert den Port abhängig von den Einstellungen im Dialog Diagnose:Ports:Auto-Disable, Rahmen “Konfiguration”.

    • Das Gerät deaktiviert den Port, wenn das Kontrollkästchen für das auslösende Ereignis “Port-Sicherheit” markiert ist. Danach blinkt die Port-LED auf dem Gerät 3 mal grün je Periode.

      Das Gerät re-aktiviert den Port, wenn im Dialog Diagnose:Ports:Auto-Disable für den Port der Reset-Timer für den Port > 0 festgelegt ist.

    • Der Port bleibt aktiviert, wenn das Kontrollkästchen für das auslösende Ereignis “Port-Sicherheit” unmarkiert ist.

Anmerkung: Voraussetzungen, damit das Gerät einen Alarm (Trap) senden kann:
  • Sie haben mindestens einen Empfänger eingetragen,
  • Sie haben mindestens einen Empfänger in der Spalte “Aktiv” angekreuzt,
  • Sie haben im Rahmen “Auswahl” die “Portsicherheit” angekreuzt.

Anmerkung: Die IP-Portsicherheit arbeitet intern auf Layer 2. Das Gerät übersetzt eine erlaubte IP-Adresse intern in eine erlaubte MAC-Adresse, wenn Sie die IP-Adresse eintragen. Dazu verwendet es eine ARP-Anfrage.Voraussetzungen für die IP-basierte Portsicherheit:Haben Sie als erlaubte IP-Adresse die eines Router-Interface eingetragen, gelten alle von diesem Interface versandten Pakete als erlaubt, da sie die selbe MAC-Quelladresse enthalten.Sendet ein angeschlossenes Gerät Pakete mit der erlaubten IP-Adresse, aber einer anderen MAC-Adresse, verweigert der Switch diesen Datenverkehr. Wenn Sie das Gerät mit der erlaubten IP-Adresse gegen ein anderes mit der selben IP-Adresse austauschen, tragen Sie auf dem Switch die IP-Adresse erneut ein, damit der Switch die neue MAC-Adresse lernt.

Schaltflächen

Tab. Schaltflächen (Forts.)

Schaltfläche

Bedeutung

“Schreiben”

Überträgt die Änderungen in den flüchtigen Speicher (RAM) des Gerätes. Um die Änderungen permanent zu speichern, öffnen Sie den Dialog Grundeinstellungen:Laden/Speichern, wählen den Speicherort für die Gerätekonfiguration und klicken auf “Sichern”.

“Laden”

Aktualisiert die Felder mit den Werten, die im flüchtigen Speicher (RAM) des Gerätes gespeichert sind.

“Assistent”

Öffnet den “Assistenten”.

Mit dem “Assistenten” weisen Sie einem Port die zulässigen MAC‑Adressen zu.

“Hilfe”

Öffnet die Online-Hilfe.


Assistent – Port auswählen

Der “Assistent” unterstützt Sie dabei, die Geräte-Ports mit einem oder mehreren erwünschten Absendern zu verknüpfen.

Tab. Assistent im Dialog Sicherheit:Portsicherheit, Seite “Port auswählen” (Forts.)

Parameter

Bedeutung

“Port auswählen”

Legt den Geräte-Port fest, dem Sie im nächsten Schritt die Absender zuweisen.


Assistent – Adressen

Der “Assistent” unterstützt Sie dabei, die Geräte-Ports mit einem oder mehreren erwünschten Absendern zu verknüpfen. Wenn Sie die Einstellungen festgelegt haben, klicken Sie auf “Fertig”. Um die Änderungen anschließend zu speichern, klicken Sie im Dialog Sicherheit:Portsicherheit auf “Schreiben”.

Tab. Assistent im Dialog Sicherheit:Portsicherheit, Seite “Adressen” (Forts.)

Parameter

Bedeutung

“Erlaubte MAC-Adressen”

Listet die MAC-Adressen auf, die auf den Port zugreifen dürfen.

Mögliche Werte:

  • Gültige Unicast-MAC-Adresse

Klicken Sie “Hinzufügen”, um die MAC-Adressen in das Feld “Erlaubte MAC-Adressen” zu übertragen.

“MAC-Adresse”

Definiert die MAC-Adressen, die auf den Port zugreifen dürfen.

Mögliche Werte:

  • Gültige Unicast-MAC-Adresse

    Geben Sie den Wert in einem der folgenden Formate ein:

    • ohne Trennzeichen, z. B. 001122334455

    • durch Leerzeichen getrennt, z. B. 00 11 22 33 44 55

    • durch Doppelpunkte getrennt, z. B. 00:11:22:33:44:55

    • durch Bindestriche getrennt, z. B. 00-11-22-33-44-55

    • durch Punkte getrennt, z. B. 00.11.22.33.44.55

    • durch Punkte nach jedem 4. Zeichen getrennt, z. B.0011.2233.4455

Klicken Sie “Hinzufügen”, um die MAC-Adressen in das Feld “Erlaubte MAC-Adressen” zu übertragen.

“Mask”

Definiert die Anzahl der wesentlichen Stellen im MAC-Adressbereich.

Mögliche Werte:

  • 1..48

Dieses Feld bietet Ihnen die Möglichkeit, die Anzahl der wesentlichen Stellen in CIDR-Schreibweise anzugeben. Beispiel: 00:11:22:33:44:00/40 bedeutet, dass der Port jenen Geräten den Netzzugang erlaubt, deren MAC-Adresse mit den ersten 5 Hexadezimal-Zahlengruppen übereinstimmt.

“Hinzufügen”

Überträgt die im Feld “MAC-Addresse” eingetragenen Werte in das Feld “Erlaubte MAC-Adressen”.

“Entfernen”

Löscht die im Feld “Erlaubte MAC-Adressen” ausgewählten Einträge.


Assistent – Aktion

Dieser Dialog legt die Aktionen fest, die das Gerät ausführt, wenn ein unauthorisierter Zugriff auf den Port erfolgt.

Tab. Assistent im Dialog Sicherheit:Portsicherheit, Seite “Aktion” (Forts.)

Name

Bedeutung

Aktion

Aktion, die das Gerät nach einem unberechtigten Zugriff ausführt.

Mögliche Werte:

  • none (Voreinstellung)

    Keine Aktion.

  • trapOnly

    Alarm verschicken.

  • portDisable

    Deaktiviert den Port. Danach blinkt die Port-LED auf dem Gerät 3 mal grün je Periode.

    Das Gerät re-aktiviert den Port, wenn Sie im Dialog Diagnose:Ports:Auto-Disable folgende Einstellungen festgelegt haben:

    • Im Rahmen “Konfiguration” ist das Kontrollkästchen für das auslösende Ereignis “Port-Sicherheit” markiert.

    • Der Reset-Timer ist für den Port > 0 festgelegt.

  • autoDisable

    Deaktiviert den Port abhängig von den Einstellungen im Dialog Diagnose:Ports:Auto-Disable, Rahmen “Konfiguration”.

    • Das Gerät deaktiviert den Port, wenn das Kontrollkästchen für das auslösende Ereignis “Port-Sicherheit” markiert ist. Danach blinkt die Port-LED auf dem Gerät 3 mal grün je Periode.

      Das Gerät re-aktiviert den Port, wenn im Dialog Diagnose:Ports:Auto-Disable für den Port der Reset-Timer für den Port > 0 festgelegt ist.

    • Der Port bleibt aktiviert, wenn das Kontrollkästchen für das auslösende Ereignis “Port-Sicherheit” unmarkiert ist.

Anmerkung: Voraussetzungen, damit das Gerät einen Alarm (Trap) senden kann:
  • Sie haben mindestens einen Empfänger eingetragen,
  • Sie haben mindestens einen Empfänger in der Spalte “Aktiv” angekreuzt,
  • Sie haben im Rahmen “Auswahl” die “Portsicherheit” angekreuzt.

Nach Schließen des Assistenten klicken Sie auf “Schreiben”, um Ihre Einstellungen zu speichern.

Schaltflächen

Tab. Schaltflächen (Forts.)

Schaltfläche

Bedeutung

“Zurück”

Zeigt die vorherige Seite wieder an. Änderungen gehen dabei verloren.

“Weiter”

Übernimmt die Änderungen und öffnet die nächste Seite.

“Fertig”

Übernimmt die Änderungen und schließt die Konfiguration ab.

“Abbrechen”

Beendet den Assistenten. Änderungen gehen dabei verloren.