NCA port security
assalamualaikum temen" pada postingan kali ini kita akan lanjut lagi ke mater port security. sesuai dengan namanya port security ini fungsinya untuk memberi ke amanan pada switch port kita. nantinya port yang di pasang security ini akan mendeteksi apakah mac addressnya sesuai dengan yang sudah dia catat sebelumnya, jika tidak sesuai maka port akan di drop. ada 3 violation pada port security yang pertama itu ada shutdown ini adalah violation default lalu ada protect dan restrict. ayo kita coba labkan.
woke kita coba buat topology kayak gini, 1 pc jadiin untuk testing gk perlu colokin kabel. untuk confignya gini aja, kita langsung pasang pada 3 port
shutdown
Switch(config)#int fa0/1
Switch(config-if)#sw mo acc
Switch(config-if)#sw port-security
Switch(config-if)#sw port-security mac-address 0002.1720.5AEB
Switch(config-if)#exit
protect
Switch(config)#int fa0/2
Switch(config-if)#sw mo acc
Switch(config-if)#sw port-security
Switch(config-if)#sw port-security mac-address sticky
Switch(config-if)#sw port-security violation protect
restrict
Switch(config)#int fa0/3
Switch(config-if)#sw mo acc
Switch(config-if)#sw port-security
Switch(config-if)#sw port-security mac-address sticky
Switch(config-if)#sw port-security violation restrict
oke untuk yang shutdown kita tidak perlu memasang violation, karena secara otomatis default violation adalah shutdown. lalu ada 2 cara pemasangan mac-address di situ bisa kita pasang secara manual atau dengan sticky. klo manual itu kita setting macnya sesuai dengan yang ada di pc, klo sticky ini nanti dia otomatis. untuk mendapatkan macnya kita harus ping terlebih dahulu agar bisa di catat oleh sticky ini. jadi kita set dlu ya semua ipnya di pc, pasang satu domain aja.
pc shutdown = 10.10.10.1 255.255.255.0
pc protect = 10.10.10.2 255.255.255.0
pc restrict = 10.10.10.3 255.255.255.0
pc testing = 10.10.10.4 255.255.255.0
oke pastikan semua pc sudah terpasang ip ya agar bisa kita ping satu sama lain.
oke clear ya, seharusnya mac address yang menggunakan sticky sudah tercatat. kita coba cek yuk. do sh port
nah disini bisa kita lihat ya semua sudah ada 1 mac address yang tercatat. untuk detail yang lebih jelas bisa temen-temen cek juga kok pake do sh run di bagian interface.
ini ya bisa di cek lagi ges. sekarang untuk lebih pastinya kita coba ganti interfacenya. kita coba pindahin kabel yang ada di pc shutdown ke pc testing.
nah kan interfaceny mati, hal ini disebapkan karena mac-address pc testing berbada dan tidak tercatat dalam port fa0/1. sebelumnya di interface tersebut kita pasang mac address milik pc shutdown, jadi cuma pc shutdown yang bisa terhubung denga interface itu. oke serang coba balikin lagi ya. klo misal udh di balikin port perlu di shut no shut, karena interface statusnya err-disable.
switch(config)#int fa0/1
switch(config-if)#shut
switch(config-if)#no shut
woke kita next lagi ya. sekarang pc protect yang kita ganti ke testing.
nah disini keliatannya kayak gk ada yang error ya, tapi sebetulnya pc testing gk bisa ping ke mana-mana. kita coba test ping yuk dari pc testing.
perbedaanya terlihat jelas ya disini. klo yang shutdown tadi dia matiin portnya terus klo yang protect dia cuma ngeblok aja alias ngedrop paket. tapi untuk interfacenya tetap nyala ya. oh iya nitip ss sh portny protect ya ges, nanti bakal kita bandingin sama yg restrict.
sekarang kita coba yang restrict. sebelum itu temen-temen balikin dlu ya portnya ke pc protect. habis itu kabel yang di restrict kita pindahin juga ke pc testing.
woke ini sama kayak protect ya, dia klo dari fisik kelaatannya aman tapi klo diping pasti gk bisa. yuk kita coba.
gk bisa kan. soalnya macnya beda sama yang di catet. lah terus bedanya apa tuh apa protect? woke bedanya itu disini, coba kita do sh port.
tuh bedanya di situ temen" ini juga alesan kenapa kita tadi ss sh portnya si protect. klo dia protect violation countnya itu gk ada, tapi klo dia restrict violation countnya itu bakal di hitung. bedanya disini aja sih hehe.
violation count itu di hitung dari berapa banyak violaionnya ngehit rule. maksudnya seberapa banyak dia melakukan drop paket atau traffic paket dari pc yang berbeda mac-address. tadi saya baru ping 2 kali. sekarang saya coba ping 3 kali lagi harusnya violationnya nambah jadi 5. yuk kita coba.
Switch(config)#int fa0/4
Switch(config-if)#sw mode access
Switch(config-if)#sw port-security
Switch(config-if)#sw port-security mac-address sticky
Switch(config-if)#sw port-security maximum ?
<1-132> Maximum addresses
Switch(config-if)#sw port-security maximum 10
nah disini maximumnya sampe 132 mac address yang bisa di catat dalm satu interface. sekarang kita coba cek do sh port ya. oh iya karena kita pake sticy jangan lupa di ping ya sama pasang kabelnya juga hehe.
tuh kan nambah dia ya jadi 10. untuk current mac yang terdaftar baru satu, tinggal ente tambahin aja ya. entah itu pake cara manual ataupun sticy. sebelum kita tutup keknya asik nih klo bahas konsep dlu alias cara kerja hehe, fatwa-fatwa dikit lah ya wkwkwkw.
jadi cara kerjanya itu gini ya, pertama pas pc kirim paket port akan ngechek mac-addressnya.
"ohh ini mac address pc shutdown udh gw catet silakan lewat" kata si switch klo ketemu mac yg udh dia kenal dengan violation apapun.
" lah ini mac sapa gw gk kenal drop aja lah gw catet lo ya" ini kata switch yang pake violation restrict.
"tungu-tunggu lo sapa ya? di daftar gk ada, sory gk boleh lewat sini pintunya gw tutup ya interfacenya mau gw matiin dulu, sekalian gw catet lo di daftar gw" ini kata switch dengan violation shutdown.
"sory ini siapa ya? gw gk kenal, intinya lo gk boleh lewat sini, gw gk bakal catet tapi tetep lo gk boleh lewat" ini kata switch violation protect.
kira-kira gini sih om degosiasi mereka. pertama bakal ada mac check dlu semisal ada di daftar artinya paket akan di teruskan, tapi klo gk ada ya akan di eksekusi sesuai dengan violationnya. klo shutdown portnya bakal di matiin dan di catet, klo protect dia bakal ngedop paket aja, klo restrict di bakal ngedrob dan catet di count violation.
bang boleh tanya gk terkait cara kerja yang sticky itu gmn sih? nah klo sticky itu simplenya kita kayak masang daftar mac secara otomatis, klo manual kan ribet ya kita harus cari tau dlu macnya si client berapa baru kita tambahin, klo clientnya dikit gk masalah, semisal banyak kan ribet. sekarang cara cepetnya ya pake sticky. nanti kita tinggal kirim paket dan di catet deh macnya sama si sticky.
mungkin gambarannya gini kli ya. pas kita setting mac-address sticky, blm ada mac yang tercatat disana. baru akan di catat ketika pc melakukan traffic pengiriman paket. ketika paket melawati interface tersebut maka mac-addressnya akan tertempel di sticky dan terpasang sebagai mac-address violation tersebut. karena itu kitaharus lakukan ping terlebih dahulu untuk memancing mac-addressnya tertempel oleh sticky.
gmn lab kali ini, lumayan lah ya. ini lab terakhir di switching, next kita masuk ke bab routing. tetap semangat ya teman". kita udh selangkah lebih maju nih gass teros. seperti biasa summary bakal ane buat tenang aja. buat kalian yang masih pusing sama obrolan di atas bisa baca summarynya di bawah kok hehe...
summary config :
summary info :
writer
dm ig
@call_unclebin
team
dm ig
@hi_kexnxii
@hastrim17
@ery.ndra_
@tegar_ardana
Comments
Post a Comment