Port security trên AOS-CX — khoá MAC, và bốn giới hạn phải biết trước

Ghi chú đọc tài liệu, không phải kết quả thử trên hệ thật. Nguồn chính: ArubaOS-CX 10.04 Security Guide của HPE. Mỗi ý có chú thích số trang ở cuối bài; đoạn nào chưa kiểm chứng được thì ghi rõ.

⚠️ port security và port access là hai tính năng khác hẳn nhau, tên gần giống nhau.

• Port access là 802.1X và MAC-Auth: hỏi máy chủ RADIUS, có danh tính, có role.
• Port security là switch tự ghi nhớ địa chỉ MAC được phép trên từng cổng rồi chặn MAC lạ. Không hỏi ai, không có danh tính người dùng.

Vì không hỏi ai nên port security chỉ là lớp bảo vệ cổng ở mức thấp. Ghi chú này nói nó làm được gì cụ thể và — quan trọng hơn — bốn chỗ nó không bảo vệ mà người triển khai hay tưởng là có¹.

Chi tiết

Ba núm xoay, và hệ quả của từng cái

Cấu hình theo từng cổng¹:

Núm	Chọn gì	Điều đáng nhớ
Action	khi phát hiện kẻ lạ thì gửi SNMP trap tới trạm quản lý, và/hoặc tắt cổng	⚠️ Mặc định là KHÔNG tắt cổng — xem mục dưới, đây là lựa chọn có chủ đích chứ không phải thiếu sót
Address limit	số MAC được phép trên cổng	Trần MAC an toàn là 64; danh sách MAC khai tay tối đa 8 thiết bị
Address learn mode	cách cổng có được danh sách MAC	ba kiểu, xem ngay dưới

Ba kiểu học địa chỉ¹:

• Static — đặt trần số MAC, khai tay một phần, phần còn lại cổng tự học từ lưu lượng đi vào.
• Configured — phải khai đủ mọi MAC; cổng không được phép tự học từ lưu lượng.
• Port access — chỉ chấp nhận MAC của thiết bị đã xác thực qua 802.1X, tức là giao việc quyết định cho port access.

Nhận định (chưa kiểm chứng): Điểm thực dụng: static tiện khi dựng nhưng nó có nghĩa là “thiết bị nào cắm vào trước thì thiết bị đó được ghi nhận là hợp lệ”. Kẻ tấn công cắm vào một cổng chưa đủ số MAC là được học vào danh sách — hoàn toàn đúng quy trình. Configured tốn công nhưng mới thật sự là danh sách trắng.

⚠️ Bốn giới hạn — đọc trước khi dựa vào tính năng này

1. Chặn lưu lượng mà không tắt cổng là hành vi mặc định. Trừ khi khai rõ là tắt cổng, switch chỉ chặn lưu lượng trái phép và để cổng chạy tiếp¹. Đây là thiết kế có lý — nhờ nó mà áp được port security lên cổng có hub hay switch nhỏ cắm phía dưới, những người dùng hợp lệ vẫn làm việc được.

Nhận định (chưa kiểm chứng): hệ quả là sự cố không tự hiện ra. Không ai bị rớt mạng, không ai gọi hỗ trợ; nếu không bật SNMP trap và không ai đọc nhật ký thì một thiết bị lạ bị chặn nhiều tháng cũng không ai biết là có người đã cắm nó vào.

2. ⚠️ Broadcast và multicast LUÔN được cho qua. Tài liệu ghi thẳng: kẻ lạ cắm vào cổng đã bật port security vẫn đọc được lưu lượng broadcast và multicast¹.

Nhận định (chưa kiểm chứng): nghĩa là nó vẫn thu thập được một lượng thông tin đáng kể về mạng — ai đang nói chuyện, giao thức phát hiện thiết bị, tên máy — trong khi bảng điều khiển hiển thị “cổng đã được bảo vệ”.

3. ⚠️ Port security KHÔNG chạy trên trunk group, và bị xoá âm thầm khi cổng bị thêm vào trunk. Tài liệu nói rõ hai điều¹:

Port security không hoạt động trên trunk group tĩnh lẫn động. Cổng đã cấu hình port security mà sau đó được thêm vào một trunk group thì switch reset tham số port security của cổng đó về mặc định xuất xưởng.

Cổng khai LACP Active hoặc Passive mà chưa thành viên trunk nào thì vẫn dùng port security được — ranh giới nằm ở chỗ đã vào trunk hay chưa, không phải đã khai LACP hay chưa¹.

Nhận định (chưa kiểm chứng): đây là giới hạn nguy hiểm nhất trong bốn cái, vì nó phá cấu hình bảo mật như một tác dụng phụ của một việc khác. Người gộp hai cổng thành LAG để tăng băng thông không nghĩ mình vừa gỡ bảo mật; cấu hình cũ không còn ở đó để ai nhìn thấy.

4. Không có danh tính. Port security chỉ nhớ MAC, không hỏi ai.

Nhận định (chưa kiểm chứng): MAC giả được dễ dàng; ngay cả MAC-Auth (có hỏi RADIUS) cũng cần profiling để chống giả mạo, nên port security (không hỏi ai) càng không chống được.

Dynamic ARP protection — tính năng đi kèm, và luật về cổng tin cậy

Cùng chương với port security, tài liệu nêu dynamic ARP protection. Hai luật thiết kế đáng nhớ¹:

• Cổng nối tới switch khác trong mạng thì khai là cổng tin cậy, để các switch trao đổi ARP và cập nhật bảng ARP bằng thông tin hợp lệ.
• ⚠️ Switch KHÔNG hỗ trợ dynamic ARP protection phải được tách sang miền L2 riêng, ngăn bằng một router. Lý do cơ học: gói ARP không đi qua ranh giới L3, nên switch không được bảo vệ sẽ không vô tình nhận ARP của kẻ tấn công rồi chuyển tiếp sang switch được bảo vệ qua chính cổng tin cậy. Khai cổng nối tới một switch không hỗ trợ là tự mở đường cho ARP poisoning từ các máy nằm sau nó.

Chưa kiểm chứng. Nguồn là tài liệu của bản 10.04. Các bản AOS-CX sau có thể đã đổi trần số MAC, hành vi mặc định hoặc luật về trunk — kiểm lại theo bản đang chạy trước khi dựa vào con số cụ thể. Riêng luật reset khi cổng vào trunk đáng kiểm lại trước tiên vì nó là loại hành vi hãng hay sửa giữa các bản.

Liên quan

• Tinh chỉnh port access trên AOS-CX — cơ chế có RADIUS, có danh tính; và MAC-Auth loại trừ port security trên cùng một cổng

Nguồn

Footnotes

1. ArubaOS-CX 10.04 Security Guide (6300, 6400 Switch Series) — tài liệu sản phẩm chính thức của HPE, chương 17, tr. PDF 248–251 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸