交換機(jī)安全特性-展示頁
2025-07-03 12:07本頁面
【正文】 ip dhcp snooping vlan vlan id配置需要監(jiān)聽的VLANip dhcp limit rate 50對DHCP包進(jìn)行限速，50包/秒。注1：最后兩條命令，是在接口模式下配置。注3：DHCP中的擴(kuò)展信息是通過交換機(jī)時獲得的。這些信息可以被DHCP Snooping監(jiān)聽。 DHCP Snooping的校驗(yàn)show ip dhcp snooping DHCP Snooping建立“綁定數(shù)據(jù)庫”當(dāng)DHCP Snooping被啟用后，交換機(jī)會對untrust接口建立數(shù)據(jù)庫。數(shù)據(jù)庫的內(nèi)容包括：每個客戶端在申請DHCP時的IP地址、MAC地址、端口號、VLAN ID和租用時間。在實(shí)際的網(wǎng)絡(luò)攻擊中，在IP層面的攻擊行為幾乎都包括虛假的IP攻擊。當(dāng)啟用Source Guard特性后，交換機(jī)會自動生成一條ACL并下發(fā)到端口中，比較連接端口的主機(jī)IP是否與綁定表中的條目一致，如果不一致，則中斷連接。即當(dāng)客戶端通過交換機(jī)連接DHCP服務(wù)器時，可以在DHCP過程中收到攜帶交換機(jī)信息的數(shù)據(jù)包。l 靜態(tài)綁定和校驗(yàn)命令ip source binding macaddress vlan vlanid ip address interface interfaceidshow ip verify source [interface interfaceid]show ip source binding [ipaddress] [macaddress] [dhcp snooping | static] [interface interfaceid] [vlan vlanid]五、 ARPl 消息封裝 以太幀 ARP消息6字節(jié) 以太網(wǎng)目的地址6字節(jié) 以太網(wǎng)源地址2字節(jié) 幀類型2字節(jié) 硬件類型2字節(jié) 協(xié)議類型1字節(jié) 硬件地址長度1字節(jié) 協(xié)議地址長度2字節(jié) op6字節(jié) 發(fā)送端以太網(wǎng)地址4字節(jié) 發(fā)送端ip地址6字節(jié) 目的以太網(wǎng)地址4字節(jié) 目的ip地址對于一個ARP請求來說，除目的端硬件地址外的所有其他的字段都有填充值。所謂的ARP欺騙，就是在最后4組字段做文章。六、 DAI的介紹：A：功能 DAI會過濾“免費(fèi)ARP消息”（沒有經(jīng)過ARP請求就自動收到的ARP應(yīng)答消息）； DAI還可以對ARP請求消息進(jìn)行限速B：規(guī)劃 在接入層交換機(jī)上進(jìn)行配置，通常將級聯(lián)端口配置為trusted接口，將連接終端的接口untrunsted接口。C：ARP ACls配置命令：arp accesslist aclname配置ACL的名稱permit ip host senderip mac host sendermac [log]手工填寫IP地址和對應(yīng)的MAC地址Exit退出ACL配置ip arp inspection filter arpaclname vlan vlanrange [static]調(diào)用ACLs配置注：ARP Acl是是檢查ARP消息，不是綁定主機(jī)的IP和MAC例：Arp accesslist host2 配置arp ACL，名稱host2Permit ip host mac host Exit 退出ip arp inspection filter host2 vlan 1 在vlan 1中調(diào)用host2interface ethe0/0/1 進(jìn)入ethe0/0/1口no ip arp inspection trust 修改端口為untrust端口說明：以上配置完成后 ，交換機(jī)ethe0/0/1口應(yīng)答的ARP消息中，發(fā)送端口IP和發(fā)送端口MAC地址，必須與host2中配置相同。D：校驗(yàn)命令show arp accesslist [aclname]show ip arp inspection vlan vlanrangeshow ip arp inspection interfaceE：以太幀的ARP檢查命令ip arp inspection validate {[srcmac][dstmac][ip]} 可以檢查以太幀的內(nèi)容， “以太網(wǎng)源地址”要和“發(fā)送端以太網(wǎng)地址”相同，“以太網(wǎng)目的地址”要和“目的以太網(wǎng)地址相同”配置實(shí)例：CommandPurposeip dhcp snooping 開啟DHCP Snooping功能ip dhcp snooping vlan 10,20監(jiān)聽VLAN10與VLAN20ip arp inspection vlan 10,20檢查VLAN10與VLAN20的arp信息interface fastethernet 0/1進(jìn)入F0/1接口description Access Port
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1