思科交换机 DHCP SNOOPING、DAI、IPSG方案-白红宇

思科交换机 DHCP SNOOPING、DAI、IPSG方案

阅读量：5928 次

发布时间：2019-06-19

本文共 3710 字，大约阅读时间需要 12 分钟。

一、关于的欺骗***

1、一个DHCP的***者，同样可以在一个VLAN中提供SERVER服务

2、DHCP***者会应答DHCP客户端的发送请求信息

3、***者会分配IP地址等信息和默认网关给DHCP客户端

说明：在一个VLAN中存在多个DHCP服务器可能会造成地址分配冲突问题

二、解决DHCP的欺骗***(DHCP SnoopingDHCP监听)

1、DHCP Snooping 允许配置 trusted(信任)端口和untrusted(非信任)端口

2、Untrusted 端口不能够处理DHCP的应答消息

3、DHCP Snooping 被配置在DHCP Server 的上行链路的(接入层)上

三、配置步骤

Switch(config)# dhcp snooping//启用DHCP Snooping

Switch(config)# ip dhcp snooping information option //启用82选项

//82选项的功能：将DHCP请求发给DHCP服务器之前，Supervisor Engine 将向数据包中增加入口模块、端口、VLAN和、交换机MAC地址

Switch(config-if)# ip dhcp snooping trust//配置信任端口

Switch(config)# ip dhcp snooping vlan//DHCP监听作用的VLAN

Switch# show ip dhcp snooping

四、IPSG (IP的源防护)

IP SOURCE GUARD是在DHCP SNOOPING功能的基础上，形成IP SOURCE BINDING表，只作用在二层端口上。

IPSG能够提供检测机制来确保单个接口所接收到的数据包能够被各个接口所接收。如果检查成功通过，那么就将许可数据包；否则就会发生违背策略的活动。IPSG不仅通够确保第2层网络中终端设备的IP地址不会产生冲突或占用，而用还能确保非授权的设备不能够通过自己指定的IP地址的方式来访问网络或导致网络不正常状态。

DAI(动态ARP检测)

ARP(地址解析协议)的绑定

PC机静态ARP绑定：

C:> ARP –s 192.168.1.1 00-50-8b-f0-0c-3e//ARP静态绑定

C:> ARP –d//清除当前ARP列表

C:> ARP –a//查看当前所有ARP列表

Router的静态ARP绑定：

Router(config)# arp 192.168.2.69 0001.1111.1111 arpae0/0//绑定

Router# show arp//查看ARP列表

Router# clear arp-cache//清除ARP列表

DAI(DYNAMIC ARP INSPECTION)是一种能够验证网络中ARP数据包的安全特性的一项技术。

DAI也是以DHCP SNOOPING BINDING DATABASE为基础的，也区分为信任和非信任端口，DAI只检测非信任端口的ARP包，可以截取、记录和丢弃与SNOOPING BINDING中IP地址到MAC地址映射关系条目不符的ARP包。如果不使用DHCP SNOOPING，则需要手工配置ARP ACL。

虽然dhcp snooping是用来防止非法的dhcp server接入的，但是它一个重要作用是一旦客户端获得一个合法的dhcp offer。启用dhcp snooping设备会在相应的接口下面记录所获得IP地址和客户端的mac地址。这个是后面另外一个技术ARP inspection检测的一个依据。ARP inspection是用来检测arp请求的，防止非法的ARP请求。认为是否合法的标准的是前面dhcp snooping时建立的那张表。因为那种表是dhcp server正常回应时建立起来的，里面包括是正确的arp信息。如果这个时候有arp***信息，利用ARP inspection技术就可以拦截到这个非法的arp数据包。其实利用这个方法，还可以防止用户任意修改IP地址，造成地址冲突等问题。