sky换地址了吗？

来源：蜘蛛抓取(WebSpider) 时间：2022-09-11 17:57 标签： jteambsky

数据安全战略非常重要，必须做好计划; 特别是在数据中心，所有虚拟资产都必须得到很好的保护。 一个图谋不轨的hacker可能会劫持VM并重新配置以满足他的邪恶目的。本文详细讲述了vSphere虚拟交换机基于2层的安全策略。

       既然是2层安全策略，而MAC地址又是处于2层，所以这3个策略都与MAC地址有关，可称之为“MAC防火墙”。

       ■操作系统也有个MAC地址，叫做”有效MAC地址“（也就是网卡地址），该地址能在网卡属性或者注册表中更改，如：

          ■存在于VMX配置文件中的MAC地址（在“虚拟机网卡配置”里可也看到这个地址，类似于固化的初始MAC地址），客户OS无法更改。

          安全策略既可以在vSwitch级别设置，也可以在端口/端口组级别设置，如过是后者，初始情况下这3个策略都是灰色，意为执行vSwitch级别的策略，选中以后，端口组策略就覆盖了交换机的策略。

          Hacker经常用MAC欺骗（MAC模拟）来冒充另一个虚拟机，或通过将MAC更改为随机值将自己隐身。 将此项设为“拒绝”就切断了可疑分子的网络连接，从而保护了网络。

         注3：虽然与VM1连接的端口被禁用，但客户OS无法检测出这种情况（因为并不是在第1、2层上从虚拟网卡上断开，而是丢弃了所有发往该VM的帧）。

在网卡属性窗口里修改了MAC地址，发出的帧的源MAC肯定就改变了，但有些软件（或者是木.马）会直接修改以太网帧的源MAC。此时正在传输的帧的源MAC与虚拟网卡的MAC不同，本策略关注的就是这点：是否有软件修改了帧的源MAC地址，使其与网卡的“有效MAC地址”不符。

          再次强调：上个策略比较的是虚拟网卡的”有效地址“与”初始地址“的不符，方向是入站；本策略比较的是”正在传输的帧的源地址“与虚拟网卡的”有效地址“的不符，方向是出站。

          一旦有软件以伪造的源MAC地址向外发送数据帧，虚拟网卡就删除该帧，但放行合法的帧。这说明本策略的执行动作是”过滤“，而非一刀切的”断网“。

          试想VM感染了木.马，该木.马以虚假的源MAC地址向外发欺骗帧，此时正在传输的帧的源MAC与虚拟网卡的有效MAC不同。虚拟网卡将会丢弃该帧，但其它合法软件的帧正常发出。

          为了检验前述的3个理论，我做了一次实验，准备了2台虚拟机：XP1和XP2。在XP1里安装“网络执法官”，它能以虚假的源MAC向外发送ARP欺骗包。

          1、设为“拒绝”并修改XP1的网卡MAC：XP1与XP2之间相互ping不通，且都没有收到对方的ARP请求，证明在初始MAC与有效MAC不符的情况下，与该VM连接的虚拟交换机端口被禁用，帧出不去也进不来。

         2、把策略改回“接受”：再用XP1以虚假的MAC向XP2发起欺骗，此时向XP2发出的帧的源MAC被欺骗软件修改，且欺骗有效，XP2网络被断开。这说明本策略不判断虚拟网卡有效MAC与运行时帧的源MAC是否相符的情况（网卡MAC≠运行时帧MAC）。

         总结：由此可见本策略不防ARP病毒，不防虚假MAC欺骗，仅判断VM的MAC是否与初始MAC不同，在相同的情况下，对黑、客软件发起的MAC地址欺骗没有防御力。

          1、设为“拒绝”且不修改XP1网卡的MAC：XP1欺骗XP2失败，但XP1能ping通XP2，这说明XP1欺骗软件发出的虚假源MAC的ARP包被虚拟网卡丢弃（有效MAC与运行时帧的源MAC不符），但ping包放行（有效MAC与运行时MAC相符）。虚拟网卡起到了“过滤”的作用。

          2、还是设为“拒绝”同时修改XP1网卡MAC：有趣的事情发生了：XP1完全无法与外界通信了！说明XP1与虚拟交换机所连接的端口被禁用，难道同时“MAC地址更改”被设为“拒绝”？非也，设置的是“接受”。

网络接口层的实际应用。同时，参考VMware官方的硬件兼容性列表，vSwitch支持多个厂商的网卡。

            如果一个帧进入交换机，目标是未知的MAC 地址，物理交换机就会进入学习状态-在所有端口泛洪该帧。但对于虚拟交换机，由于明确知道内部虚拟机的MAC地址及其属于哪个端口（虚拟机端口和Vmkernel端口），所以不需要经历MAC地址学习的过程-该帧会被忽略。

            类似地，如果一个帧从虚拟端口进入虚拟交换机（例如从一个VM 发出），目标是未知的MAC 地址，它将通过物理上联链路处理。这使得虚拟交换机的二层交换策略变得非常简洁。

很多人在公布自己的电邮地址的时候都用#来代替@，据说可以防垃圾邮件。为什么？

因为正常的邮件地址是@的，换成了#这个符号，就发送不了邮件了，而垃圾邮件是自动抓取邮件地址的，换成了#这个符号，就等于是无效的邮件地址，而真正要发邮件的人是会自己换成@这个符号后再发送的。

你可以使用雅虎邮箱，自动和手动屏蔽垃圾邮件的功能非常实用。

垃圾邮件可以通过相关软件来解决.

我要回帖

更多关于 jteambsky 的文章

 

随机推荐