dhcp攻击类型
攻击类型 |
备注 |
DHCP Starvation |
DHCP饿死 攻击者发送大量的不完整的DHCP请求,把DHCP服务器内的可用IP地址快速消耗殆尽 |
DHCP Spoof |
DHCP欺骗 攻击者私自搭建DHCP服务器,影响客户端的IP地址获取 |
DHCP Snooping:DHCP嗅探,保证DHCP客户端从合法的DHCP服务器获取IP地址,并记录DHCP客户端IP地址与MAC地址等参数的对应关系,防止网络上针对DHCP攻击
- 截获DHCP报文并进行分析处理
- 建立和维护一个DHCP Snooping绑定表(MAC、IP、租期、VLAN、接口)
- 对DHCP报文进行过滤和限速
DHCP Snooping端口类型
类型 |
备注 |
信任(Trusted) |
正常转发接收到的DHCP应答(offer)报文,转发DHCP请求 |
非信任(Untrusted) |
丢弃接收到的DHCP应答报文 |
DHCP Snooping的信任功能,可以为用户提供进一步的安全性保证
DHCP Snooping信任功能可以控制DHCP服务器应答报文的来源,以防止网络中可能存在的伪造或非法DHCP服务器为其他主机分配IP地址及其他配置信息
DHCP Snooping信任功能将端口分为信任端口和不信任端口:
- 信任端口是与合法的 DHCP 服务器直接或间接连接的端口。信任端口对接收到的 DHCP 报文正常转发,从而保证了 DHCP 客户端获取正确的 IP 地址
- 不信任端口是不与合法的 DHCP 服务器连接的端口。从不信任端口接收到DHCP 服务器响应的 DHCP-ACK、DHCP-NAK 和 DHCP-OFFER 报文会被丢弃,从而防止了 DHCP 客户端获得错误的 IP 地址
DHCP Snooping绑定表
- 收到DHCP ACK报文后,会从该报文中提取关键信息
- 建立MAC+IP+VLAN+Port的绑定关系
- 只有接收到的报文的信息和绑定表中的内容一直才会被转发,否则报文被丢弃
DHCP Snooping配置
推荐在用户接入层交换机上部署DHCP Snooping,越靠近PC端口控制的越准确
DHCP服务器配置
dhcp enable #开启DHCP功能
dhcp server ip-pool 1 #配置DHCP地址池
network 192.168.1.0 mask 255.255.255.0
interface GigabitEthernet0/0 #配置IP地址
ip address 192.168.1.1 255.255.255.0
交换机配置
dhcp enable #开启DHCP功能
dhcp snooping enable #全局开启dhcp snooping功能,开启之后,默认设备所有接口处于非信任接口PS:华为交换机使用dhcp snooping enable仅代表全局开启功能,还需要去接口中开启dhcp snooping功能,或者在vlan中开启,例如在vlan1中开启,那就表示vlan1中的所有接口都开启了dhcp snooping功能
此时让PC设备获取IP地址,过一段时间可以发现,获取不到地址,因为交换机的所有接口都处于非信任接口,DHCP-ACK、DHCP-NAK 和 DHCP-OFFER 报文会被丢弃
使用命令 dis dhcp snooping packet statistics 可以发现收到了7个dhcp报文,并没有发送dhcp报文
添加信任端口
interface GigabitEthernet1/0/1
dhcp snooping trust #把靠近服务器一段接口配置为dhcp snooping信任端口
再去PC获取IP地址,发现可以正常获取IP地址
使用命令dis dhcp snooping packet statistics 可以发现收到了11个dhcp报文,发送了4个报文