网络安全一:使用DHCP Snooping防范DHCP欺骗攻击
DHCP 工作过程:
1:客户机向服务器发送DHCP_DISCOVER报文,申请IP。
2:服务器向客户机返会DHCP_OFFER报文,指定一个将要分配的IP。
3:客户机向服务器发送DHCP_REQUEST报文,请求这个IP。
4:服务器向客户机发送DHCP_ACK报文,确认可以分配。
客户机申请IP之前没有IP,DHCP_DISCOVER报文都是以广播形式发送的,IP头里的目的地址是255.255.255.255,源地址是0.0.0.0。
DHCP 欺骗攻击过程:
1.首先攻击者伪装成DHCP客户端,发起大量的DHCP请求(可以用软件实现)。DHCP服务器收到请求后,把IP分配给伪装的DHCP客户端,由于DHCP服务器的IP地址数量是有限的,很快DHCP服务器上地址池的IP就会被消耗完,则DHCP服务器不再为其它客户端分配IP
2.第一步完成后,攻击者这时可以搭建一台DHCP服务器,则客户端的DHCP请求就会到非法的DHCP上请求IP,从而获取一个非法的IP地址。
DHCP Snpooing配置:
1.全局启用dhcp snooping
ip dhcp snooping
ip dhcp snooping vlan 31
2.将相应的端口(连接合法DHCP服务器的端口)划入trust
interface GigabitEthernet1/0/24
switchport mode trunk
ip dhcp snooping trust
3.限制非信任端口的DHCP报文速率为每秒20个包
interface GigabitEthernet1/0/1
ip dhcp snooping limit rate 20
说明:通过以上配置后,交换机会监听vlan 31 上的DHCP报文,并且只有接收来自于G1/0/24信任口的DHCP应答
作者:tim54252
如果您看了本篇博客,觉得对您有所收获,请点击右下角的 [推荐]
如果您想转载本博客,请注明出处
如果您对本文有意见或者建议,欢迎留言
感谢您的阅读,请关注我的后续博客