dcn-ts16arp欺騙與dcn防御手段(v11)-文庫吧資料
2025-03-13 23:27本頁面
【正文】 命令： arpguard ip addr ? no arpguard ip addr ? 功能：添加 ARP Guard 地址。 ? 注意事項： ? 為了提高交換機(jī)的效率，可以配置受信任的端口和 IP， 交換機(jī)不檢測來自受信任的端口或 IP 的 ARP 報文，這樣可以有效地減少交換機(jī)的負(fù)擔(dān)。此兩種防 ARP 掃描功能可以同時啟用。基于端口的 ARP 掃描會計算一段時間內(nèi)從某個端口接收到的ARP 報文的數(shù)量，若超過了預(yù)先設(shè)定的閾值，則會 down 掉此端口。 DCN系列交換機(jī)防 ARP 掃描的整體思路是若發(fā)現(xiàn)網(wǎng)段內(nèi)存在具有 ARP 掃描特征的主機(jī)或端口，將切斷攻擊源頭，保障網(wǎng)絡(luò)的安全。而且 ARP 掃描通常是其他更加嚴(yán)重的攻擊方式的前奏，如病毒自動感染，或者繼而進(jìn)行端口掃描、漏洞掃描以實施如信息竊取、畸形報文攻擊，拒絕服務(wù)攻擊等。 ? 注意事項： ? 必須保證手工靜態(tài)綁定及第一次動態(tài)獲取 IP、 MAC的正確性和有效性 ? 不能阻止以符合綁定關(guān)系的 IP、 MAC為源的網(wǎng)段掃描，請注意結(jié)合 AntiArpscan使用 21 AntiArpscan介紹 ? ARP 掃描是一種常見的網(wǎng)絡(luò)攻擊方式。 ? LOG 功能 : ? 交換機(jī)檢測發(fā)現(xiàn)異常收包時；或者自動恢復(fù)時，應(yīng)自動發(fā)送 syslog 信息到Log Server。 19 DHCP Snooping介紹（ 2） ? 添加信任用戶 : ? DHCP Snooping 捕獲到綁定數(shù)據(jù)之后，可以根據(jù)綁定數(shù)據(jù)中的參數(shù)添加添加信任用戶表項，這樣這些用戶就可以不經(jīng)過 DOT1X 認(rèn)證而訪問所有資源。 ? 記錄 DHCP 綁定數(shù)據(jù)： ? DHCP Snooping 在轉(zhuǎn)發(fā) DHCP 報文的同時，記錄 DHCP SERVER 分配的綁定數(shù)據(jù)，并可以把綁定數(shù)據(jù)上載到指定的服務(wù)器進(jìn)行備份。 L3交換機(jī) PC1 PC2 PC3 PC4 PC5 PC6 H U B A B C D 18 DHCP Snooping介紹（ 1） ? 防偽裝 DHCP Server： ? DHCP Snooping 最初的應(yīng)用是為了防止用戶私設(shè) DHCP 服務(wù)器，通過啟用 DHCP Snooping， 將交換機(jī)上各端口定義為 Trust接口和 Untrust接口，在 Untrust接口判斷是否有 DHCP Server才能發(fā)送的 DHCPOFFER、DHCPACK、 DHCPNAK報文，如果截獲到這些報文，將發(fā)出警告并做出相應(yīng)反應(yīng)（ shutdown該接口或者下發(fā) blockhole）。 ? 防御手段： ? 我們利用交換機(jī)的過濾表項保護(hù)重要網(wǎng)絡(luò)設(shè)備的 ARP 表項不能被其它設(shè)備假冒。 17 ArpGuard原理 ? 主要攻擊形式（如上圖）： ? ARP 欺騙的危害主要表項為兩種形式： PC4 發(fā)送 ARP 報文通告 PC2 的IP 地址映射為自己的 MAC 地址，將導(dǎo)致本應(yīng)該發(fā)送給 PC2 的 IP 報文全部發(fā)送到了 PC4， 這樣 PC4 就可以監(jiān)聽、截獲 PC2 的報文； PC4 發(fā)送ARP 報文通告 PC2 的 IP 地址映射為非法的 MAC 地址，將導(dǎo)致 PC2 無法接收到本應(yīng)該發(fā)送給自己的報文。這就為ARP 欺騙提供了可乘之機(jī)，攻擊者發(fā)送 ARP request報文或者ARP reply 報文通告錯誤的 IP 地址和 MAC 地址映射關(guān)系，導(dǎo)致網(wǎng)絡(luò)通訊故障。 5 RARP的工作原理 ? RARP的工作原理： ? 1. 發(fā)送主機(jī)發(fā)送一個本地的 RARP廣播，在此廣播包中，聲明自己的 MAC地址并且請求任何收到此請求的 RARP服務(wù)器分配一個 IP地址； ? 2. 本地網(wǎng)段上的 RARP服務(wù)器收到此請求后，檢查其 RARP列表，查找該 MAC地址對應(yīng)的 IP地址； ? 3. 如果存在， RARP服務(wù)器就給源主機(jī)發(fā)送一個響應(yīng)數(shù)據(jù)包并將此 IP地址提供給對方主機(jī)使用； ? 4. 如果不存在， RARP服務(wù)器對此不做任何的響應(yīng)； ? 5. 源主機(jī)收到從 RARP服務(wù)器的響應(yīng)信息，就利用得到的 IP地址進(jìn)行通訊；如果一直沒有收到 RARP服務(wù)器的響應(yīng)信息，表示初始化失敗。如果不相同就忽略此數(shù)據(jù)包；如果相同，該主機(jī)首先將發(fā)送端的 MAC地址和 IP地址添加到自己的 ARP列表中，如果ARP表中已經(jīng)存在該 IP的信息，則將其覆蓋，然后給源主機(jī)發(fā)送一個 ARP響應(yīng)數(shù)據(jù)包，告訴對方自己是它需要查找的 MAC地址； ? 4. 源主機(jī)收到這個 ARP響應(yīng)數(shù)據(jù)包后，將得到的目的主機(jī)的 IP地址和MAC地址添加到自己的 ARP列表中，并利用此信息開始數(shù)據(jù)的傳輸。此 ARP請求數(shù)據(jù)包里包括源主機(jī)的 IP地址、硬件地址、以及目的主機(jī)的 IP地址。 4 ARP的工作原理 ? ARP的工作原理： ? 1. 首先，每臺主機(jī)都會在自己的 ARP緩沖區(qū) (ARP Cache)中建立一個 ARP列表，以表示 IP地址和 MAC地址的對應(yīng)關(guān)系。但這個目標(biāo) MAC地址是如何獲得的呢？它就是通過地址解析協(xié)議獲得的。因此，必須把 IP目的地址轉(zhuǎn)換成以太網(wǎng)目的地址。內(nèi)部資料，未經(jīng)授權(quán)嚴(yán)禁外傳 神 州 數(shù) 碼 客 服 中 心 DCNTS16 ARP欺騙與 DCN防御手段 Version 學(xué)習(xí)目標(biāo) ? 學(xué)完本課程，您應(yīng)該能夠： ? 深刻理解 ARP協(xié)議原理及其攻擊手段 ? 深刻理解相應(yīng)的防御手段及其原理 ? Arp Guard ? Dhcp Snooping –
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1