Меню

ИТ База знаний

Услуги

Магазин

Merion Metrics

Внедрение IP телефонии

Стать автором

Онлайн курсы

Поиск

Популярное и похожее

Курс по сетям

Подробнее

Новинка!

Настройка Site-To-Site IPSec VPN на Cisco

35000100037М

Cisco ASA 5506-X: интерфейс BVI

25000003М

Настройка GRE туннеля на Cisco

24000300078М

Траблшутинг DHCP на оборудовании Cisco

0006М

Сброс пароля в Cisco ASA Firewall

16000003М

Сравнение команд Cisco, Huawei и Juniper

8000002М

Траблшутинг BGP

1000006М

📌
Еженедельный дайджест

Корпоративные сети
→Cisco

Настройка DHCP Snooping и Dynamic Arp Inspection на Cisco

Защита от подмены DHCP

Ноябрь 07, 2019
Мерион Нетворкс
3 минуты чтения

Хочу рассказать, как настроить DHCP Snooping и DAI (Dynamic Arp Inspection). Материал будет полезен начинающим сетевым администраторам.

Обучайся в Merion Academy

Пройди курс по
сетевым технологиям

Начать

Коротко о технологии DHCP Snooping и DAI

Данные функции защищают вашу сеть от подмены DHCP сервера. На коммутаторах вручную настраиваются доверенные порты, которые как правило подключены к маршрутизатору или DHCP серверу. Также доверенными портами назначаются UpLink порты.

Другая возможность это Dynamic Arp inspection. Тоже защитная функция, предотвращающая атаку типа Man-in-The-Middle. Это такой вид атаки, когда к вашей сети подключается устройство злоумышленника и, например, объявляет, что IP адрес, принадлежащий авторизованному серверу, принадлежит ему. После этого все данные, которые отправляются на сервер переходят через устройство злоумышленника.

Настройка DHCP Snooping и DAI

Чтобы включить функцию DHCP Snooping нужно для начала задать доверенные и не доверенные порты. Все порты, к которому подключены конечные пользователи считаются не доверенными. Так как DHCP Snooping и DAI настраиваются в связке я не буду делить это на отдельные части:

AccSwitch#conf t
AccSwitch(config)#
AccSwitch(config)#int ra gi1/0/1-46
AccSwitch(config-if-range)#ip dhcp snooping limit rate 15
AccSwitch(config-if-range)#ip arp inspection limit rate 100

Тут мы задаем количество пакетов, которые должны проходить через не доверенный интерфейс. Обычно такого числа пакетов хватает для получения и обновления IP адреса. Далее настраиваем доверенные интерфейсы:

AccSwitch(config)#int ra gi1/0/47-48
AccSwitch(config-if-range)#ip dhcp snooping trust
AccSwitch(config-if-range)#ip arp inspection trust

После этого глобально включаем DHCP Snooping, но НЕ ARP Inspection:

AccSwitch(config)#ip dhcp snooping
AccSwitch(config)#ip dhcp snooping vlan 200
AccSwitch(config)#no ip dhcp snooping information option

Последняя команда отключает опцию 82, которая используется коммутатором в DHCP пакетах, идущих от DHCP клиента через коммутатор к DHCP серверу. Опция 82 содержит информацию об устройстве (например, MAC адрес коммутатора) и информацию о номере порта с которого идет запрос для того, чтобы сервер, опираясь на полученную информацию, смог выдать IP адрес DHCP клиенту из нужной подсети.

Далее переходим к настройке DAI. Если у вас в сети есть устройства со статическим IP адресом, то нужно как-то сказать коммутатору, чтобы порты, к которым подключены такие устройства не проверялись. Для этого существуют ARP списки доступа. Важно, чтобы название access-list-а было именно DAI. По личному опыту знаю, что в противном случае нужно вводить дополнительные команды. А так все работает без лишних команд.

AccSwitch(config)#
AccSwitch(config)# arp access-list DAI
AccSwitch(config-arp-nacl)# permit ip host 192.168.200.25 mac host 0017.6111.a309

В таком порядке добавляем IP адреса всех устройств со статическим IP. Дополнительно можно настроить Sorce Guard. Этим мы конкретное устройство к порту коммутатора, таким образом другое устройство подключенное к указанному порту не сможет выдать себя за привязанное:

AccSwitch(config)#ip source binding 0017.6111.a309 vlan 200 192.168.200.14 interface Gi1/0/5

Также под не доверенными интерфейсами нужно ввести команду ip verify source, которые проверяет источник запросов.

Важно! После всех настроек, приведенных выше, ждем сутки-две чтобы DHCP Snooping таблица заполнилась. В противном случае DAI будет блокировать все запросы, и пользователи не смогут работать в сети. Когда таблица заполнена включаем arp inspection:

AccSwitch(config)#ip arp inspection vlan 200

Обучайся в Merion Academy

Пройди курс по
сетевым технологиям

Начать

DHCP Snooping

DAI Cisco

Dynamic Arp Inspection

5000

0

0

Поделиться
Скопировать ссылку Отправить на почту Facebook ВКонтакте Telegram Pocket

Кажется, Марион запутался в сетях, пока пытался в них разобраться!

Ему нужна твоя помощь! Помоги решить задачу, чтобы спасти принцессу

Решить задачу

Маршрутизатор состоит из многих внутренних компонентов. Какой компонент хранит копию файла конфигурации?

NWRAM
Flash

Какая особенность поддерживает высокую пропускную способность в коммутируемых сетях, объединяя несколько каналов в один?

Избыточные каналы
Агрегация каналов

Какой уровень модели OSI требуется для конфигурирования соединения между устройствами в различных виртуальных локальных сетях?

Уровень 3
Уровень 2

Ты помог Мариону спасти принцессу!

За это он дарит тебе дополнительные 15% скидки на курс по сетям!

Получить

Упс, кажется промах. Попробуй в следующий раз!

Закрыть

x

Полезно?

Да

Нет

Telegram чатYoutubeFacebook

Почему?

😪Мы тщательно прорабатываем каждый фидбек и отвечаем по итогам анализа. Напишите, пожалуйста, как мы сможем улучшить эту статью.

Нажимая на кнопку "Отправить", вы даете согласие на обработку своих персональных данных

😍Полезные IT – статьи от экспертов раз в неделю у вас в почте. Укажите свою дату рождения и мы не забудем поздравить вас.

Нажимая на кнопку "Подписаться", вы даете согласие на обработку своих персональных данных

Рекомендуем

Настройка IP Traffic Export в Cisco

0002М

Про Cisco шаблоны SDM (Switching Database Manager)

0007М

Поднимаем SNMP на L2/L3 устройствах Cisco

0002М

Расширенные возможности OSPF: Области

0005М

Настройка Router-on-a-Stick на Cisco

0004М

Комментарии (0)

Список

Youtube

Telegram

Мерион Нетворкс © 2021
Контакты
Политика конфиденциальности

бесплатные книги по BGP и EIGRP

с советами от инженеров

129 страниц на русском языке

Email*

Нажимая на кнопку "Скачать", вы даете согласие на обработку своих персональных данных

Скачать книгу

Войти в IT

NEW!

Стать автором

Курс по Asterisk

Полезно

— Узнать IP - адрес компьютера в интернете

— Онлайн генератор устойчивых паролей

— Онлайн калькулятор подсетей

— Калькулятор инсталляции IP - АТС Asterisk

— Руководство администратора FreePBX на русском языке

— Руководство администратора Cisco UCM/CME на русском языке

— Руководство администратора по Linux/Unix

Навигация

Серверные решения

Теория

Виртуализация

CRM

— AmoCRM

— Битрикс24

Linux/Unix

DevOPS

Windows

Телефония

FreePBX и Asterisk

— Настройка модулей

— Полезные советы

— Инструкции

— Настройка провайдеров

— CLI конфигурация

Оборудование

Cisco

— CUCM

— CME

Теория

Elastix

— Конфигурация АТС

— Инструкции

Настройка программных телефонов

3CX

— Инструкции

OpenScape

— Конфигурация АТС

Avaya

Huawei

Корпоративные сети

Теория

— Основы сетей

— Информационная безопасность

Протоколы и стандарты

Mikrotik

Cisco

Huawei