二层攻击防范技术

DHCP Snooping

DHCP原理:

DHCP详细原理可参考:DHCP工作原理

DHCP ----C/S架构
基于 UDP 67-----bootps ,服务端使用
​ 68-----bootpc , 客户端使用

工作原理:
发现-----广播
提供-----单播
请求-----广播
确认-----单播

DHCP Snooping:

可参考:DHCP Snooping原理

DHCP 攻击类型:

  1. DHCP服务器伪造
    信任端口和非信任端口(trust和untrust)

    只有trust接口才能回应offer和ack报文

  2. DHCP服务器耗尽(DOS)
    DHCP请求限速
    解决方案:
    dhcp snooping check dhcp-rate enable
    dhcp snooping check dhcp-rate 90

  3. DHCP中间人攻击与IP/MAC Spoofing攻击

    通过IP/MAC欺骗,攻击者让客户端端认为自己就是DHCP服务器,然后攻击者代替客户端向DHCP服务器申请IP地址,让DHCP服务器认为攻击者就是客户端。

  4. 改变CHADDR 值的DoS 攻击
    int xxxx
    dhcp snooping check dhcp-chaddr enable
    dhcp snooping check dhcp-request enable

解决方案:
DHCP Snooping

动态生成绑定表(IP地址 MAC地址 VLAN 接口)

使用防火墙作为DHCP中继,配置三层DHCP SNOOPING
中继配置:
interface GigabitEthernet0/0/1
 dhcp select relay
 
配置思路:
第一步:配置DHCP Snooping
dhcp snooping enable 

int XXX
dhcp snooping enable  

第二步:去连接DHCP服务器的接口配置为信任端口
int XXX
interface GigabitEthernet0/0/2
 dhcp snooping trusted

第三步:客户端获取地址
[DHCP Relay]display  dhcp snooping  bind-table all 

注意绑定表问题

  1. 如果是不在绑定表中,可以正常通过

  2. 如果在绑定表中,必须配置正确,如果不正确也通过不了

解决方案:手工绑定

 dhcp snooping bind-table static ip-address X.X.X.X mac-address XXXX-XXXX-XXXX

防火墙作为DHCP服务器,交换机配置DHCP SNOOPING

配置
交换机
第一步:开启DHCP  Snooping功能
dhcp enable
dhcp snooping enable 
dhcp snooping enable  vlan 10

第二步:配置信任端口
interface Ethernet0/0/1
 dhcp snooping trusted

第三步:客户端重新地址,查看交换机的绑定表

端口安全

端口安全详细内容可参考:端口安全域端口隔离。

端口安全;
interface Ethernet0/0/13
 port link-type access
 port default vlan 10
 port-security enable   ---------------------启动端口安全 
 port-security protect-action shutdown------超过MAC的地址以后的动作.默认是restrict(丢弃并统计)
 port-security max-mac-num 2 ------------定义最大学习MAC地址的数量
 port-security mac-address sticky ---------绑定MAC 

ARP Spoofing

ARP Spoofing(ARP欺骗)是一种单包攻击。

攻击者为了改变网关设备上的ARP表项,会向网关设备发送虚假ARP请求报文。如果设备将该报文中的IP地址与MAC地址对应关系学习至ARP表项,则会误将其他主机的报文转发给攻击源。

防御方式:

启用ARP欺骗攻击防范后,只在自己主动向其他主机发起ARP请求并得到回应的情况下才更改ARP表项,而不会学习主机主动发来的ARP请求报文。

配置命令:

firewall defend arp-spoofing enable 

DAI

ARP中间人攻击:

在这里插入图片描述

图:ARP中间人攻击示意图

ARP中间人攻击过程:

  1. 如图,攻击者向用户A发送ARP更新,将用户A上存储的用户B的mac改为攻击者的mac地址。
  2. 同样,攻击者向用户B发送ARP更新,将用户B上存储的用户A的mac改为攻击者的mac地址。
  3. 会造成,当用户A和用户B通信时,流量都会发给攻击者。容易造成数据泄露。

DAI:

DAI(Dynamic ARP Inspection)动态ARP检查。为了防御中间人攻击,避免合法用户的数据被中间人窃取,可以使能动态ARP检测功能。设备会将ARP报文对应的源IP、源MAC、接口、VLAN信息和绑定表中的信息进行比较,如果信息匹配,说明发送该ARP报文的用户是合法用户,允许此用户的ARP报文通过,否则就认为是攻击,丢弃该ARP报文。

配置命令:

[接口视图] arp anti-attack check user-bind enable //使能检查绑定表功能
[接口视图] arp anti-attack check user-bind alarm enable//使能告警功能

本功能仅适用于DHCP Snooping场景。设备使能DHCP Snooping功能后,当DHCP用户上线时,设备会自动生成DHCP Snooping绑定表;对于静态配置IP地址的用户,设备不会生成DHCP Snooping绑定表,所以需要手动添加静态绑定表。

user-bind static 10.1.1.1 1-1-1 vlan 10,配置静态用户绑定表项。

IPSG

随着网络规模越来越大,基于源IP的攻击也逐渐增多,一些攻击者利用欺骗的手段获取到网络资源,取得合法使用网络的能力,甚至造成被欺骗者无法访问网络,或者信息泄露,造成不可估量的损失。

**IPSG(IP Source Guard),是指设备在作为二层设备使用时,利用绑定表来防御IP源欺骗的攻击。**当设备在转发IP报文时,将此IP报文中的源IP、源MAC、端口、VLAN信息和绑定表的信息进行比较,如果信息匹配,说明是合法用户,则允许此用户正常转发,否则认为是攻击者,丢弃该用户发送的IP报文。

在这里插入图片描述

图:IP/MAC欺骗攻击典型场景

IPSG防御原理:

  • IP地址包括IPv4地址和IPv6地址,即使能IPSG功能后,设备将对用户IP报文的源IPv4地址和源IPv6地址都进行检查。
  • IPSG功能只对IP类型的报文有效。对其他类型的报文,如PPPoE(Point-to-Point Protocol over Ethernet)报文无法生效。
    IP:
    1.1.1.3/24
    MAC: 3-3-3

配置命令:

[接口视图] ip source check user-bind enable //使能IP报文检查功能。

结合DHCP Snooping使用。

IPSG可以基于VLAN对IP报文进行检查,也可以基于接口对IP报文进行检查。

本命令只对动态绑定表生效,对静态绑定表不生效。对于静态绑定表,IPSG按照静态绑定表配置的表项进行完全匹配。


已标记关键词 清除标记
相关推荐
©️2020 CSDN 皮肤主题: 技术工厂 设计师:CSDN官方博客 返回首页