交換機安全特性-文庫吧
2025-06-09 12:07 本頁面
【正文】 tion偵聽dhcp過程中的擴展信息ip dhcp snooping vlan vlan id配置需要監(jiān)聽的VLANip dhcp limit rate 50對DHCP包進行限速，50包/秒。ip dhcp snooping trust配置可信任端口。注1：最后兩條命令，是在接口模式下配置。注2：沒有被配置成trust的接口，都是untrust接口。注3：DHCP中的擴展信息是通過交換機時獲得的。當客戶端與服務器不是通過直連網(wǎng)絡連接，而是中間通過交換機連接，此時交換機會在DHCP過程中附加一些交換的信息（option）。這些信息可以被DHCP Snooping監(jiān)聽。即：沒有交換機，就沒有（option）。 DHCP Snooping的校驗show ip dhcp snooping DHCP Snooping建立“綁定數(shù)據(jù)庫”當DHCP Snooping被啟用后，交換機會對untrust接口建立數(shù)據(jù)庫。數(shù)據(jù)庫最大容量8192條信息。數(shù)據(jù)庫的內(nèi)容包括：每個客戶端在申請DHCP時的IP地址、MAC地址、端口號、VLAN ID和租用時間。 遠程儲存命令：CommandPurposeip dhcp snooping database {flash[number]:/filename | ftp://user:password@host/filename | ://[[username:password]@]{hostname | hostip}[/directory]/ | rep://user@host/filename} | tftp://host/filename遠程存儲DHCP Snooping綁定數(shù)據(jù)庫的配置命令 校驗命令：CommandPurposeshow ip dhcp snooping 顯示交換機中DHCP Snooping的配置show ip dhcp snooping binding顯示DHCP Snooping動態(tài)建立的DHCP的信息show ip dhcp snooping database顯示DHCP Snooping綁定數(shù)據(jù)庫的靜態(tài)信息show ip source binding顯示動態(tài)或者靜態(tài)的綁定信息四、 IP Source Guard 交換機能夠檢查來自客戶端的源IP地址，防止虛假的IP地址攻擊。在實際的網(wǎng)絡攻擊中，在IP層面的攻擊行為幾乎都包括虛假的IP攻擊。最常用的方法是借鑒DHCP Snooping建立的綁定表。當啟用Source Guard特性后，交換機會自動生成一條ACL并下發(fā)到端口中，比較連接端口的主機IP是否與綁定表中的條目一致，如果不一致，則中斷連接。注：IP Source Guard配置前必須先配置DHCP Snoopingl 配置命令（端口模式）：ip verify source 只檢查源IP地址ip verify source portsecurity 同時檢查源IP地址和源MAC地址注1：如果配置source和portsecurity交換機必須支持option82功能。即當客戶端通過交換機連接DHCP服務器時，可以在DHCP過程中收到攜帶交換機信息的數(shù)據(jù)包。注2：portsecurity功能啟用后，交換機不檢查DHCP消息的MAC地址，直到終端設備獲得IP地址之后，交換機才會檢查源MAC地址。l 靜態(tài)綁定和校驗命令ip source binding macaddress vlan vlanid ip address interface interfaceidshow ip verify source [interface interfaceid]show ip source binding [ipaddress] [macaddress] [dhcp snooping | static] [interface interfaceid] [vlan vlanid]五、 ARPl 消息封裝 以太幀 ARP消息6字節(jié) 以太網(wǎng)目的地址6字節(jié) 以太網(wǎng)源地址2字節(jié) 幀類型2字節(jié) 硬件類型2字節(jié) 協(xié)議類型1字節(jié) 硬件地址長度1字節(jié) 協(xié)議地址長度2字節(jié) op6字節(jié) 發(fā)送端以太網(wǎng)地址4字節(jié) 發(fā)送端ip地址6字節(jié) 目的以太網(wǎng)地址4字節(jié) 目的ip地址對于一個ARP請求來說，除目的端硬件地址外的所有其他的字段都有填充值。當系統(tǒng)收到一份目的端為本機的ARP請求報文后，它使用自己的MAC和IP分別替換兩個發(fā)送端的地址，將發(fā)送端的兩個地址填寫到目的以太網(wǎng)地址和目的IP地址字段，并把操作字段設置為“2”，最后發(fā)送回去。所謂的ARP欺騙，就是在最后4組字段做文章。欺騙都發(fā)生在應答消息中。六、 DAI的介紹：A：功能 DAI會檢查應答消息中的發(fā)送IP和發(fā)送MAC是否在DHCP Snooping建立的數(shù)據(jù)庫中存在，如果存在即
環(huán)評公示相關推薦
鄂ICP備17016276號-1