👋 Привет, сетевой друг!

Расскажу, как защититься от Mac Flooding - атаки, которая превращает свитч в хаб и открывает дорогу для перехвата трафика.

🟣Port Security с лимитом MAC (Cisco): жёстко ограничиваем, сколько устройств может появиться на порту. Всё лишнее сразу блокируется.

interface Gi1/0/10
 switchport mode access
 switchport port-security
 switchport port-security maximum 1
 switchport port-security violation shutdown
 switchport port-security mac-address sticky

Порт запоминает легальный MAC и отключается при попытке затопить CAM-таблицу.

🟣Storm Control против лавины кадров: ограничиваем уровень широковещательного и неизвестного трафика, который обычно используют при MAC-flood.

interface Gi1/0/10
 storm-control broadcast level 1.00
 storm-control multicast level 1.00
 storm-control unicast level 1.00
 storm-control action shutdown

Когда поток выходит за пределы - порт гасится до ручного восстановления.

🟣Dynamic ARP Inspection как побочный щит от CAM-атак: хотя DAI создан против ARP-спуфинга, он отлично режет часть флуда, связанного с поддельными MAC/IP.

ip arp inspection vlan 10
ip arp inspection validate src-mac dst-mac ip
interface Gi1/0/10
 ip arp inspection limit rate 15

Фейковые кадры отлетают ещё до попадания в таблицы коммутатора.

🟣MAC limiting на MikroTik switch-чипе: аппаратно ограничиваем обучение адресов, не нагружая CPU.

/interface ethernet switch port
set ether5 learned-mac-address-limit=1
set ether5 drop-if-invalid-or-src-mac-not-learned=yes

Любая попытка заспамить порт новыми MAC сразу режется на уровне ASIC.

🟣Мониторинг переполнения CAM-таблицы (Cisco): ловим атаку ещё до деградации сети.

show mac address-table count
show logging | include CAM
debug sw-mac learning

Серверная Админа | #network