dcn-ts16arp欺騙與dcn防御手段(v11)-wenkub
2023-03-28 23:27:52 本頁(yè)面
【正文】 設(shè)置的閾值，則禁止來(lái)自此 IP 的任何流量，而不是 down 掉與此 IP 相連的端口。 ? 由于 ARP 掃描給網(wǎng)絡(luò)的安全和穩(wěn)定帶來(lái)了極大的威脅，所以防 ARP 掃描功能將具有重大意義。 20 DHCP Snooping— 原理 ? 實(shí)現(xiàn)機(jī)制： DHCP Snooping 通過(guò)動(dòng)態(tài)監(jiān)控客戶端從 DHCP 服務(wù)器獲取地址的過(guò)程（或者手工靜態(tài)綁定），將客戶端的 IP、MAC關(guān)聯(lián)到具體的交換機(jī)端口，并將該綁定關(guān)系下發(fā)給驅(qū)動(dòng)，只有符合該綁定關(guān)系的 ARP報(bào)文交換機(jī)才會(huì)轉(zhuǎn)發(fā)，從而實(shí)現(xiàn)防 ARP攻擊。 ? 添加綁定 ARP： ? DHCP Snooping 捕獲到綁定數(shù)據(jù)之后，可以根據(jù)綁定數(shù)據(jù)中的參數(shù)添加靜態(tài)綁定 ARP， 這樣可以防止交換機(jī)的 ARP表項(xiàng) 欺騙。基本原理就是利用交換機(jī)的過(guò)濾表項(xiàng)，檢測(cè)從端口輸入的所有ARP 報(bào)文，如果 ARP 報(bào)文的源 IP 地址是受到保護(hù)的 IP 地址，就直接丟棄報(bào)文，不再轉(zhuǎn)發(fā)。 ? ARP Guard 功能常用于保護(hù)網(wǎng)關(guān)不被攻擊，如果要保護(hù)網(wǎng)絡(luò)內(nèi)的所有接入 PC不受 ARP欺騙攻擊，需要在端口配置大量受保護(hù)的 ARP Guard 地址，這將占用大量芯片 FFP 表項(xiàng)資源，可能會(huì)因此影響到其它應(yīng)用功能，并不適合。如果源主機(jī)一直沒(méi)有收到 ARP響應(yīng)數(shù)據(jù)包，表示 ARP查詢失敗。 ? 2. 當(dāng)源主機(jī)需要將一個(gè)數(shù)據(jù)包要發(fā)送到目的主機(jī)時(shí)，會(huì)首先檢查自己 ARP列表中是否存在該 IP地址對(duì)應(yīng)的 MAC地址，如果有 ﹐ 就直接將數(shù)據(jù)包發(fā)送到這個(gè) MAC地址；如果沒(méi)有，就向本網(wǎng)段發(fā)起一個(gè) ARP請(qǐng)求的廣播包，查詢此目的主機(jī)對(duì)應(yīng)的 MAC地址。在以太網(wǎng)中，一個(gè)主機(jī)要和另一個(gè)主機(jī)進(jìn)行直接通信，必須要知道目標(biāo)主機(jī)的MAC地址。內(nèi)部資料，未經(jīng)授權(quán)嚴(yán)禁外傳 神 州 數(shù) 碼 客 服 中 心 DCNTS16 ARP欺騙與 DCN防御手段 Version 學(xué)習(xí)目標(biāo) ? 學(xué)完本課程，您應(yīng)該能夠： ? 深刻理解 ARP協(xié)議原理及其攻擊手段 ? 深刻理解相應(yīng)的防御手段及其原理 ? Arp Guard ? Dhcp Snooping – Binding ARP – Binding UserControl – Binding Dot1x ? AntiArpscan ? 熟練掌握相關(guān)協(xié)議的配置、特點(diǎn)及其針對(duì)點(diǎn) ? 掌握相關(guān)協(xié)議的分析及 TroubleShooting 2 課程內(nèi)容 ?第一章 ARP協(xié)議原理及其攻擊手段 ?第二章 DCN防御手段及原理 ?第三章 DCN防御協(xié)議配置 ?第四章 典型配置案例 3 ARP協(xié)議介紹 ? ARP，全稱 Address Resolution Protocol，中文名為地址解析協(xié)議，它工作在數(shù)據(jù)鏈路層，在本層和硬件接口聯(lián)系，同時(shí)對(duì)上層提供服務(wù)。但這個(gè)目標(biāo) MAC地址是如何獲得的呢？它就是通過(guò)地址解析協(xié)議獲得的。此 ARP請(qǐng)求數(shù)據(jù)包里包括源主機(jī)的 IP地址、硬件地址、以及目的主機(jī)的 IP地址。 5 RARP的工作原理 ? RARP的工作原理： ? 1. 發(fā)送主機(jī)發(fā)送一個(gè)本地的 RARP廣播，在此廣播包中，聲明自己的 MAC地址并且請(qǐng)求任何收到此請(qǐng)求的 RARP服務(wù)器分配一個(gè) IP地址； ? 2. 本地網(wǎng)段上的 RARP服務(wù)器收到此請(qǐng)求后，檢查其 RARP列表，查找該 MAC地址對(duì)應(yīng)的 IP地址； ? 3. 如果存在， RARP服務(wù)器就給源主機(jī)發(fā)送一個(gè)響應(yīng)數(shù)據(jù)包并將此 IP地址提供給對(duì)方主機(jī)使用； ? 4. 如果不存在， RARP服務(wù)器對(duì)此不做任何的響應(yīng)； ? 5. 源主機(jī)收到從 RARP服務(wù)器的響應(yīng)信息，就利用得到的 IP地址進(jìn)行通訊；如果一直沒(méi)有收到 RARP服務(wù)器的響應(yīng)信息，表示初始化失敗。 17 ArpGuard原理 ? 主要攻擊形式（如上圖）： ? ARP 欺騙的危害主要表項(xiàng)為兩種形式： PC4 發(fā)送 ARP 報(bào)文通告 PC2 的IP 地址映射為自己的 MAC 地址，將導(dǎo)致本應(yīng)該發(fā)送給 PC2 的 IP 報(bào)文全部發(fā)送到了 PC4， 這樣 PC4 就可以監(jiān)聽(tīng)、截獲 PC2 的報(bào)文； PC4 發(fā)送ARP 報(bào)文通告 PC2 的 IP 地址映射為非法的 MAC 地址，將導(dǎo)致 PC2 無(wú)法接收到本應(yīng)該發(fā)送給自己的報(bào)文。 L3交換機(jī) PC1 PC2 PC3 PC4 PC5 PC6 H U B A B C D 18 DHCP Snooping介紹（ 1） ? 防偽裝 DHCP Server： ? DHCP Snooping 最初的應(yīng)用是為了防止用戶私設(shè) DHCP 服務(wù)器，通過(guò)啟用 DHCP Snooping， 將交換機(jī)上各端口定義為 Trust接口和 Untrust接口，在 Untrust接口判斷是否有 DHCP Server才能發(fā)送的 DHCPOFFER、DHCPACK、 DHCPNAK報(bào)文，如果截獲到這些報(bào)文，將發(fā)出警告并做出相應(yīng)反應(yīng)（ shutdown該接口或者下發(fā) blockhole）。 19 DHCP Snooping介紹（ 2） ? 添加信任用戶 : ? DHCP Snooping 捕獲到綁定數(shù)據(jù)之后，可以根據(jù)綁定數(shù)據(jù)中的參數(shù)添加添加信任用戶表項(xiàng)，這樣這些用戶就可以不經(jīng)過(guò) DOT1X 認(rèn)證而訪問(wèn)所有資源。 ? 注意事項(xiàng)： ? 必須保證手工靜態(tài)綁定及第一次動(dòng)態(tài)獲取 IP、 MAC的正確性和有效性 ? 不能阻止以符合綁定關(guān)系的 IP、 MAC為源的網(wǎng)段掃描，請(qǐng)注意結(jié)合 AntiArps
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1