Как предотвратить атаки на DHCP с помощью настройки DHCP Snooping

Рассмотрим, что такое истощение DHCP (DHCP Starvation) и поддельный DHCP-сервер (DHCP Spoofing). А также, как предотвратить атаки, связанные с DHCP, с помощью функции DHCP Snooping и настроить эту функцию на Cisco IOS.

Содержание:

1. Топология
2. Подробный мастер-класс
3. Сценарий
4. Задачи
   1. Настройки R1 после выполнения Части 1
   2. Настройки S1 после выполнения Части 1
   3. Настройки R1 после выполнения Части 2
   4. Настройки S1 после выполнения Части 2
   5. Настройки R2 после выполнения Части 2
5. Выводы

Топология

В данной работе используются команды и выходные данные маршрутизатора Cisco 1941 с ПО Cisco IOS версии 15.4(3)M2 (с лицензией Security Technology Package). Команды коммутатора и выходные данные соответствуют коммутаторам Cisco WS-C2960-24TT-L с ОС Cisco IOS Release 15.0(2)SE4 (образ C2960-LANBASEK9-M). Допускается использование других маршрутизаторов, коммутаторов и версий Cisco IOS.

Схема топологии следующая:

Подробный мастер-класс

Видеоинструкция на нашем YouTube-канале:

Лабораторная работа доступна здесь: CCNA Security Lab Securing Layer 2 Switches.

Сценарий

Инфраструктура на уровне 2 состоит из множества взаимно подключенных коммутаторов Ethernet. Большинство пользовательских устройств, таких как компьютеры, принтеры, IP-телефоны и другие хосты, подключаются к сети через коммутаторы уровня 2. В результате, коммутаторы могут представлять угрозу сетевой безопасности. По аналогии с маршрутизаторами коммутаторы также являются объектом атак внутренних злоумышленников.

Программное обеспечение Cisco IOS для коммутаторов предоставляет множество опций по обеспечению безопасности, предназначенных для различных функций и протоколов коммутаторов.

В данной лабораторной работе вы настроите доступ по SSH и безопасность на уровне 2 на коммутаторах S1 и S2. Вы также настроите функцию DHCP Snooping для предотвращения атак истощение DHCP (DHCP Starvation) и поддельный DHCP-сервер (DHCP Spoofing).

Задачи

1. Настройка базовых параметров коммутатора.
2. Настройка IP DHCP Snooping.

Настройки R1 после выполнения Части 1

hostname R1
no ip domain-lookup

interface Gi0/1
ip address 192.168.1.1 255.255.255.0
no shut

line con 0
exec-timeout 5 0
logging synchronous

Настройки S1 после выполнения Части 1

hostname S1
no ip domain-lookup

line con 0
exec-timeout 5 0
logging synchronous
exit

interface vlan 1
ip address 192.168.1.2 255.255.255.0
no shutdown

no ip http server
no ip http secure-server

enable algorithm-type scrypt secret cisco12345

Настройки R1 после выполнения Части 2

ip dhcp pool CCNAS
network 192.168.1.0 255.255.255.0
default-router 192.168.1.1
ip dhcp excluded-address 192.168.1.1 192.168.1.4

ip dhcp pool 20Users
network 192.168.20.0 255.255.255.0
default-router 192.168.20.1
ip dhcp excluded-address 192.168.20.1 192.168.20.4

interface g0/1
shutdown
no ip address 192.168.1.1 255.255.255.0
no shutdown
int g0/1.1
encapsulation dot1q 1
ip address 192.168.1.1 255.255.255.0
int g0/1.20
encapsulation dot1q 20
ip address 192.168.20.1 255.255.255.0

Настройки S1 после выполнения Части 2

int f0/5
switchport mode trunk

ip dhcp snooping
ip dhcp snooping information option
ip dhcp snooping vlan 1,20

interface f0/6
ip dhcp snooping limit rate 10

interface f0/5
description connects to DHCP server
ip dhcp snooping trust

show ip dhcp snooping

Настройки R2 после выполнения Части 2

hostname R2
no ip domain-lookup

interface Gi0/1
ip address 192.168.20.2 255.255.255.0
no shut

line con 0
exec-timeout 5 0
logging synchronous

ip dhcp pool 20Users
network 192.168.20.0 255.255.255.0
default-router 192.168.20.1
ip dhcp excluded-address 192.168.20.1 192.168.20.4

Выводы

Спасибо за уделенное время на прочтение статьи. Теперь вы больше знаете о том, что такое истощение DHCP (DHCP Starvation) и поддельный DHCP-сервер (DHCP Spoofing). А также, как предотвратить атаки, связанные с DHCP, с помощью функции DHCP Snooping и настроить эту функцию на Cisco IOS.

Если возникли вопросы, задавайте их в комментариях.

Подписывайтесь на обновления нашего блога и оставайтесь в курсе новостей мира инфокоммуникаций!

Чтобы знать больше и выделяться знаниями среди толпы IT-шников, записывайтесь на курсы Cisco, курсы по кибербезопасности, полный курс по кибербезопасности, курсы DevNet / DevOps (программируемые системы) от Академии Cisco, курсы Linux от Linux Professional Institute на платформе SEDICOMM University (Университет СЭДИКОММ).