如何開啟Cisco交換機DHCP Snooping的功能
如何開啟Cisco交換機DHCP Snooping的功能
你還在為開啟Cisco交換機DHCP Snooping的功能而煩惱么?不用擔(dān)心，接下來是學(xué)習(xí)啦小編為大家收集的開啟Cisco交換機DHCP Snooping的功能方法，歡迎大家閱讀：
開啟Cisco交換機DHCP Snooping的功能的方法
一、IP地址盜用
IP地址的盜用方法多種多樣，其常用方法主要有以下幾種：
1、靜態(tài)修改IP地址
對于任何一個TCP/IP實現(xiàn)來說，IP地址都是其用戶配置的必選項。如果用戶在配置TCP/IP或修改TCP/IP配置時，使用的不是授 權(quán)分配的IP地址，就形成了IP地址盜用。由于IP地址是一個邏輯地址，因此無法限制用戶對于其主機IP地址的靜態(tài)修改。
2、成對修改IP-MAC地址
對于靜態(tài)修改IP地址的問題，現(xiàn)在很多單位都采用IP與MAC綁定技術(shù)加以解決。針對綁定技術(shù)，IP盜用技術(shù)又有了新的發(fā)展，即成對修改 IP-MAC地址。現(xiàn)在的一些兼容網(wǎng)卡，其MAC地址可以使用網(wǎng)卡配置程序進行修改。如果將一臺計算機的 IP地址和MAC地址都改為另外一臺合法主機的IP地址和MAC地址，其同樣可以接入網(wǎng)絡(luò)。
另外，對于那些MAC地址不能直接修改的網(wǎng)卡來說，用戶還可以采用軟件的辦法來修改MAC地址，即通過修改底層網(wǎng)絡(luò)軟件達到欺騙上層網(wǎng)絡(luò)軟件的目的。
3、動態(tài)修改IP地址
某些攻擊程序在網(wǎng)絡(luò)上收發(fā)數(shù)據(jù)包，可以繞過上層網(wǎng)絡(luò)軟件，動態(tài)修改自己的 IP地址(或IP-MAC地址對)，以達到IP欺騙。
二、IP Source Guard技術(shù)介紹
IP源防護(IP Source Guard，簡稱IPSG)是一種基于IP/MAC的端口流量過濾技術(shù)，它可以防止局域網(wǎng)內(nèi)的IP地址欺騙攻擊。IPSG能夠確保第2層網(wǎng)絡(luò)中終端設(shè)備的IP地址不會被劫持，而且還能確保非授權(quán)設(shè)備不能通過自己指定IP地址的方式來訪問網(wǎng)絡(luò)或攻擊網(wǎng)絡(luò)導(dǎo)致網(wǎng)絡(luò)崩潰及癱瘓。
交換機內(nèi)部有一個IP源綁定表(IP Source Binding Table)作為每個端口接受到的數(shù)據(jù)包的檢測標準，只有在兩種情況下，交換機會轉(zhuǎn)發(fā)數(shù)據(jù)：
所接收到的IP包滿足IP源綁定表中Port/IP/MAC的對應(yīng)關(guān)系
所接收到的是DHCP數(shù)據(jù)包
其余數(shù)據(jù)包將被交換機做丟棄處理。
IP源綁定表可以由用戶在交換機上靜態(tài)添加，或者由交換機從DHCP監(jiān)聽綁定表(DHCP Snooping Binding Table)自動學(xué)習(xí)獲得。 靜態(tài)配置是一種簡單而固定的方式，但靈活性很差，因此Cisco建議用戶最好結(jié)合DHCP Snooping技術(shù)使用IP Source Guard，由DHCP監(jiān)聽綁定表生成IP源綁定表。
以DHCP Snooping技術(shù)為前提講一下IP Source Guard技術(shù)的原理。 在這種環(huán)境下，連接在交換機上的所有PC都配置為動態(tài)獲取IP地址，PC作為DHCP客戶端通過廣播發(fā)送DHCP請求，DHCP服務(wù)器將含有IP地址信息的DHCP回復(fù)通過單播的方式發(fā)送給DHCP客戶端，交換機從DHCP報文中提取關(guān)鍵信息(包括IP地址，MAC地址，vlan號，端口號，租期等)，并把這些信息保存到 DHCP 監(jiān)聽綁定表中。(以上這個過程是由DHCP Snooping完成的)
接下來的由IP Source Guard完成。交換機根據(jù)DHCP監(jiān)聽綁定表的內(nèi)容自動生成IP源綁定表，然后IOS根據(jù)IP源綁定表里面的內(nèi)容自動在接口加載基于端口的VLAN ACL(PVACL)，由該ACL(可以稱之為源IP地址過濾器)來過濾所有IP流量。客戶端發(fā)送的IP數(shù)據(jù)包中，只有其源IP地址滿足源IP綁定表才會被發(fā)送，對于具有源IP綁定表之外的其他源IP地址的流量，都將被過濾。
PC沒有發(fā)送DHCP請求時，其連接的交換機端口默認拒絕除了DHCP請求之外的所有數(shù)據(jù)包，因此PC使用靜態(tài)IP是無法連接網(wǎng)絡(luò)的(除非已經(jīng)存在綁定好的源IP綁定條目，如靜態(tài)源IP綁定條目或者是之前已經(jīng)生成的動態(tài)IP綁定條目還沒過期，而且PC還必須插在正確的端口并設(shè)置正確的靜態(tài)IP地址)。
IP源防護只支持第2層端口，其中包括接入(access)端口和干道(trunk)接口。IP源防護的信任端口/非信任端口也就是DHCP監(jiān)聽的信任端口/非信任端口。對于非信任端口存在以下兩種級別的IP流量安全過濾：
源IP地址過濾：根據(jù)源IP地址對IP流量進行過濾，只有當(dāng)源IP地址與IP源綁定條目匹配，IP流量才允許通過。當(dāng)端口創(chuàng)建、 修改、 刪除新的IP源綁定條目的時候，IP源地址過濾器將發(fā)生變化。為了能夠反映IP源綁定的變更，端口PACL將被重新修改并重新應(yīng)用到端口上。 默認情況下，如果端口在沒有存在IP源綁定條目的情況下啟用了IP源防護功能，默認的PACL將拒絕端口的所有流量(實際上是除 DHCP報文以外的所有IP流量)。
源IP和源MAC地址過濾：根據(jù)源IP地址和源MAC地址對IP流量進行過濾，只有當(dāng)源IP地址和源MAC地址都與IP源綁定條目匹配，IP流量才允許通過。當(dāng)以IP和MAC地址作為過濾的時候，為了確保DHCP協(xié)議能夠正常的工作，還必須啟用DHCP監(jiān)聽選項82。 對于沒有選項82的數(shù)據(jù)，交換機不能確定用于轉(zhuǎn)發(fā)DHCP服務(wù)器響應(yīng)的客戶端主機端口。相反地，DHCP服務(wù)器響應(yīng)將被丟棄，客戶機也不能獲得IP地址。
注：交換機使用端口安全(Port Security)來過濾源MAC地址。
當(dāng)交換機只使用“IP源地址過濾”時，IP源防護功能與端口安全功能是相互獨立的關(guān)系。 端口安全是否開啟對于IP源防護功能來說不是必須的。 如果同時開啟，則兩者也只是一種寬松的合作關(guān)系，IP源防護防止IP地址欺騙，端口安全防止MAC地址欺騙。而當(dāng)交換機使用“源IP和源MAC地址過濾”時，IP源防護功能與端口安全功能是就變成了一種“集成”關(guān)系，更確切的說是端口安全功能被集成到 IP源防護功能里，作為IP源防護的一個必須的組成部分。
在這種模式下，端口安全的違規(guī)處理(violation)功能將被關(guān)閉。對于非法的二層報文，都將只是被簡單的丟棄，而不會再執(zhí)行端口安全的違規(guī)處理了。IP源防護功能不能防止客戶端PC的ARP攻擊。ARP攻擊問題必須由DAI功能來解決。如果要支持IP源防護功能，必須是35系列及以上的交換機。2960目前不支持該功能。三、IP Source Guard的配置(IPSG配置前必須先配置ip dhcp snooping)
看了“開啟Cisco交換機DHCP Snooping的功能”還想看：