DHCP Snooping防范功能

合集下载

ip dhcp snooping

应用场景：IP Source Guard可以实现防止用户私设IP地址及防止用户变化源IP的扫描行为，要求用户必须动态DHCP方式获取IP，否则将无法使用网络；IP Source Guard配合ARP-check功能使用可以有效预防ARP欺骗，具体配置参考IP Source Guard+ ARP-check防范ARP功能简介：IP Source Guard：IP Source Guard（IP源防护）维护一个IP 源地址绑定数据库，IP Source Guard可以在对应的接口上主机报文进行基于源IP、源IP和源MAC的报文过滤，从而保证只有IP源地址绑定数据库中的主机才能正常使用网络。

IP Source Guard会自动将DHCP Snooping绑定数据库中的合法用户绑定同步到IPSource Guard的IP源地址绑定数据库（硬件安全表项中），这样IP Source Guard就可以在打开DHCP Snooping设备上对客户端的进行严格过滤；默认情况下，打开IP Source Guard的功能的端口会过滤所有非DHCP的IP报文；只有当客户端通过DHCP从服务器获取到合法的IP或者管理员为客户端配置了静态的IP源地址绑定，端口将允许和这个客户端匹配的IP报文通过。

IP Source Guard支持基于IP+MAC或者基于IP的过滤，如果打开基于IP+MAC的过滤，IP Source Guard会对所有报文的MAC+IP进行检测，仅仅允许IP源地址绑定表格中存在的用户报文通过；而基于IP的过滤，仅仅会对报文的源IP地址进行检测。

一、组网需求用户网关在核心交换机上，核心交换机创建DHCP Server，接入交换机下联PC使用动态DHCP获取IP地址，为了防止内网用户私设IP，需要实施IP Source Guard功能，对于私设IP地址的用户不让访问外网。

二、组网拓扑三、配置要点1、在核心交换机上开启DHCP Server功能（部分场景中，客户可能采用专用DHCP服务器，则核心交换机只需要启用DHCP Relay功能即可）2、在接入交换机上全局开启dhcp snooping功能，并且在上联核心的端口开启DHCPSnooping信任口3、在接入交换机连接用户的端口开启IP Source Guard功能4、网络中存在个别用户使用静态IP，配置IP Source Guard功能后也能实现安全控制。

爆肝了，一口气搞懂什么是DHCPSnooping

爆肝了，一口气搞懂什么是DHCPSnoopingDHCP Snooping是DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）的一种安全特性，用于保证DHCP客户端从合法的DHCP服务器获取IP地址，并记录DHCP客户端IP地址与MAC地址等参数的对应关系。

DHCP Snooping可以抵御网络中针对DHCP的各种攻击，为用户提供更安全的网络环境和更稳定的网络服务。

目录•为什么需要DHCP Snooping？•DHCP Snooping应用场景有哪些？•DHCP Snooping是如何工作的？为什么需要DHCP Snooping？目前DHCP协议（RFC2131）在应用的过程中遇到很多安全方面的问题，网络中存在一些针对DHCP的攻击，如DHCP Server仿冒者攻击、DHCP Server的拒绝服务攻击、仿冒DHCP报文攻击等。

为了保证网络通信业务的安全性，引入DHCP Snooping技术。

在DHCP Client和DHCP Server之间建立一道防火墙，以抵御网络中针对DHCP的各种攻击。

DHCP Snooping应用场景有哪些？防止DHCP Server仿冒者攻击导致用户获取到错误的IP地址和网络参数攻击原理由于DHCP Server和DHCP Client之间没有认证机制，所以如果在网络上随意添加一台DHCP服务器，它就可以为客户端分配IP地址以及其他网络参数。

如果该DHCP服务器为用户分配错误的IP地址和其他网络参数，将会对网络造成非常大的危害。

如下图所示，DHCP Discover报文是以广播形式发送，无论是合法的DHCP Server，还是非法的DHCP Server都可以接收到DHCP Client发送的DHCP Discover报文。

DHCP Client发送DHCP Discover报文示意图DHCP Client发送DHCP Discover报文示意图如果此时DHCP Server仿冒者回应给DHCP Client仿冒信息，如错误的网关地址、错误的DNS（Domain Name System）服务器、错误的IP等信息，如图2所示。

dhcp安全问题及防范措施

dhcp安全问题及防范措施
DHCP（Dynamic Host Configuration Protocol）是一种网络协议，用于自动分配IP地址、子网掩码、默认网关等网络配置信息给
客户端设备。

然而，由于其工作方式的特点，DHCP也存在一些安全
问题，如下：
1. DHCP劫持：攻击者可以通过在网络上部署恶意的DHCP服务
器来欺骗客户端设备，从而获取受害者的网络流量或篡改其网络设置。

2. IP地址冲突：当两个设备同时被分配了相同的IP地址时，
会导致网络中断或通信故障。

3. 资源耗尽：攻击者可以通过大量请求DHCP分配的IP地址，
使得DHCP服务器资源耗尽，导致正常设备无法获取IP地址。

为了防范这些安全问题，可以采取以下措施：
1. 使用DHCP Snooping：通过启用DHCP Snooping功能，可以
限制DHCP服务器只能响应经过认证的端口请求，防止未经授权的DHCP服务器攻击。

2. 使用静态IP地址分配：对于一些重要的网络设备，可以手动配置静态IP地址，避免使用DHCP分配的动态IP地址，减少IP地址冲突的可能性。

3. 限制DHCP服务器范围：在DHCP服务器上设置IP地址分配范围，并限制分配数量，避免资源耗尽问题。

4. 配置DHCP服务器认证：通过在DHCP服务器上配置用户认证，只允许授权的用户请求并获取IP地址。

5. 定期更新DHCP服务器软件：及时安装最新的DHCP服务器软件补丁，修复已知的安全漏洞，提高系统的安全性。

总之，通过合理的配置和使用DHCP服务器，结合以上防范措施，可以有效降低DHCP安全问题的风险。

DHCP欺骗的防范原理及实现(一)

ＤＨＣＰ欺骗的防范原理及实现(一)摘要]本文先介绍了DHCP及DHCP欺骗的工作原理，然后给出了防范DHCP欺骗的原理、实现的方法和实现的例子。

关键词]DHCP欺骗DHCPSNOOPING防范在TCP/IP网络中，每台计算机要与其他计算机通信，都必须进行基本的网络配置（IP地址、子网掩码、缺省网关、DNS等）。

对于小型网络，为每台计算机一一配置这样的属性也许还可以承受，由于网络应用的发展，特别是电子商务、电子政务、办公自动化等新的网络应用的出现，网络的规模也逐渐扩大，这样对于一个有几百、上千台的网络，基本的网络配置工作虽然简单，但配置的工作量相当大，而且对以后的维护带来不便。

为了便于统一规划和管理网络中的IP地址，DHCP(DynamicHostConfigureProtocol，动态主机配置协议)应运而生了。

这种网络服务有利于网络中的客户机自动进行网络配置，而不需要一个一个手动指定，但DHCP服务在设计时，没有过多的考虑安全问题，因此，这种服务在为网络配置提供方便的时候，又带来了问题。

一、DHCP工作原理DHCP服务分为两个部分：服务器端和客户端。

所有的IP网络配置资料都由服务器集中管理，并负责处理客户端的DHCP要求；而客户端则会使用从服务器分配下来的网络配置数据进行网络配置。

这种网络配置数据的分配是动态的，是会变化的，称为“租约”分配。

“租约”的形成有4个阶段：发现阶段:客户端寻找服务器的阶段。

客户端开始时并不知道服务器的IP地址，因此，它会向本地网络广播发送DISCOVER发现信息来寻找服务器，本地网络中的所有计算机都会接收到这种广播，但只有DHCP服务器才会做出响应。

提供阶段:服务器向客户端提供网络配置参数的阶段。

在网络中接收到客户端DISCOVER发现信息的DHCP服务器都会做出响应，它们会从尚未出租的IP地址中挑选一个，向客户端发送包含预备出租的IP地址和其他设置的OFFER提供信息。

dhcp攻击与防御的原理和方法

dhcp攻击与防御的原理和方法DHCP（Dynamic Host Configuration Protocol）是一种网络协议，它负责为网络上的设备分配IP地址以及其他网络配置信息。

然而，正是由于其分配IP地址的特性，DHCP成为了黑客们进行攻击的目标之一。

本文将探讨DHCP攻击的原理和方法，并介绍一些常用的防御措施。

我们来了解一下DHCP攻击的原理。

DHCP攻击是指黑客通过伪造DHCP服务器或者恶意篡改DHCP服务器的响应，来欺骗网络上的设备获取虚假的IP地址或其他网络配置信息。

攻击者可以利用这种方式实施各种网络攻击，例如中间人攻击、拒绝服务攻击等。

一种常见的DHCP攻击方法是DHCP服务器伪造。

攻击者会在网络中伪造一个DHCP服务器，并发送虚假的DHCP响应给目标设备。

目标设备在收到响应后会将自己的网络配置信息更新为攻击者指定的虚假信息。

这样，攻击者就可以控制目标设备的网络连接，进而进行各种恶意活动。

另一种DHCP攻击方法是DHCP服务器篡改。

攻击者可以通过劫持网络中的DHCP服务器，修改服务器的配置信息，使其分配虚假的IP地址或其他网络配置信息给目标设备。

这种攻击方式相对隐蔽，很难被目标设备察觉。

为了有效防御DHCP攻击，我们可以采取一系列的措施。

首先，建立一个安全可靠的网络基础架构。

网络管理员应该加强对DHCP服务器的管理和监控，确保其不受攻击者的篡改。

同时，网络中的设备应该定期更新操作系统和安全软件，以及及时修补已知的漏洞，减少攻击的风险。

加强网络流量的监控和检测。

网络管理员可以使用入侵检测系统（IDS）或入侵防御系统（IPS）来实时监测网络流量，发现并阻止可疑的DHCP请求。

此外，还可以设置网络防火墙，限制DHCP流量的传输范围，防止未经授权的DHCP服务器出现。

网络管理员还可以采用DHCP Snooping技术来防御DHCP攻击。

DHCP Snooping是一种基于交换机的技术，它可以识别和过滤伪造的DHCP报文。

dhcpsnoopingDHCP安全

dhcpsnoopingDHCP安全技术背景你有没有遇到过这样的现象，在公司⽹络环境中，有⼈私接⼩路由，导致下发⾮法IP地址，⽽获取到⾮法IP地址的终端将⽆法正常访问⽹络。

是不是很⽓⼈，⽽且在实际当中，接路由器⼀般都是藏起来，你找都不好找，那有没有⼀种办法，让这种⼩路由⽆法使⽤呢？即便是你接上了，也不让你⽤！！（其实如果接对的话，是没有问题的，就怕是你接错了）DHCP snooping 横空出世1）什么是DHCPsnoopingDHCP snooping，是针对于dhcp（动态分配主机协议）所做的安全机制，在⼀个内⽹中我们⽐较常见的情况如下，⼀个⼯位上的员⼯，为了⾃⼰上⽆线⽅便，⾃⼰私接了⼀台⽆线路由器，⽽恰巧⼜接在了lan⼝上，这种⼩型家⽤路由器的内⽹是可以分配 DHCP的，这样⼀台内⽹有些终端就从这⾥获得到了IP，⽽这个IP是根本就没有办法上⽹的，所以要通过dhcp snooping来解决（确认的说应该是在出现问题之间就解决掉）不让⾮法的DHCP服务器在⽹络中活动2）配置在哪⾥？确认的说，配置在接⼊交换机，并将上联⼝配置为trust信任3）有哪些特点只要开启了DHCPsnooping功能，那么所有的接⼝默认都是不信任的DHCP snooping的两种状态，1 信任：接收和转发所有DHCP包2 不信任：接收客户端的请求包，但是不转发实例在此拓扑中，R1为公司的GW，负责DHCP下发IP，⽽R2充当 TP-LINK，⾮法的DHCPserver三层交换机做DHCP 中继，配置在这⾥不再多说，（如果有不明⽩的，可以回看DHCP HELP那⼀篇）先保证全⽹能够正常通信，PC1能够获得公司合法的IP地址另外两台交换机的互联接⼝本配置TRUNK此时是正常的情况，PC可以获得到正确的IP地址此时开启R2,摸拟DHCP，并配置⼀个⾮法的DHCP地址池再⽤PC进⾏测试，这个时候，PC机就要看运⽓了，有的时候能够获得到正确的，有的时候获得到的就是⾮法的这个时候就要开启DHCP snooping了先到最后⼀台，SW4上开启1）全局开启(config)#ip dhcp snooping2）针对vlan(config)#ip dhcp snooping vlan 10 //记住，cisco的设备是针对于VLAN的，所以在开启的时候后⾯⼀定要加上VLAN编号3）进⼊接⼝配置信任：(config-if)#ip dhcp snooping trustSW4配置完成，此时如果⽤PC请求的话，还是有可能请求到⾮法的IP地址，因为TP-LINK在SW3上，所以SW3也要进⾏开启，配置完了吗？PC机请求⼀下发现SW3会有系统消息直接给的drop丢弃了，你会发现，在开启snooping之前，是没有这个消息的，为什么?关键词 option82⽤wireshark 抓包看⼀下这个82选项中包含了啥？这个紫⾊的框框中是什么意思？AABBCC004000，像是⼀个MAC,为什么会有它的MAC?答:这个是客户机请求DHCP时，会携带的交换机MAC地址，⽤于定位⽤，在⼀个局域⽹中有很多交换机，当请求到达路由器在回包的时候，好知道应该给哪台交换机，⽽这时，开启了DHCP snooping的设备是⽆法辨识82选项的，也就不允许通过。

DHCP攻击的实施与防御

DHCP攻击的实施与防御DHCP攻击针对的目标是网络中的DHCP服务器，原理是耗尽DHCP服务器所有的IP地址资源，使其无法正常提供地址分配服务。

然后在网络中再架设假冒的DHCP服务器为客户端分发IP地址，从而来实现中间人攻击。

本文以神州数码CS6200交换机为例，从原理、实施、防御三个方面对DHCP攻击进行了全面介绍。

1. DHCP工作过程DHCP客户端从服务端申请到IP地址等网络配置信息需要经过四个步骤，每个步骤需要发送相应类型的数据报文，如图1所示。

图 1 DHCP工作过程①首先由客户端以广播方式发出“DHCP Discover”报文来寻找网络中的DHCP服务端。

②当服务端接收到来自客户端的“DHCP Discover”报文后，就在自己的地址池中查找是否有可提供的IP地址。

如果有，服务端就将此IP地址做上标记，并用“DHCP Offer”报文将之发送回客户端。

③由于网络中可能会存在多台DHCP服务端，所以客户端可能会接收到多个“DHCP Offer”报文。

此时客户端只选择最先到达的“DHCP Offer”，并再次以广播方式发送“DHCP Request”报文。

一方面要告知它所选择的服务端，同时也要告知其它没有被选择的服务端，这样这些服务端就可以将之前所提供的IP地址收回。

④被选择的服务端接收到客户端发来的“DHCP Request”报文后，首先将刚才所提供的IP地址标记为已租用，然后向客户端发送一个“DHCP Ack”确认报文，该报文中包含有IP地址的有效租约以及默认网关和DNS服务器等网络配置信息。

当客户端收到“DHCP ACK”报文后，就成功获得了IP地址，完成了初始化过程。

2.DHCP攻击原理与实施下面搭建如图2所示的实验环境，神州数码CS6200交换机作为正常的DHCP服务端在网络中提供地址分配服务，攻击者在Kali Linux 上对交换机发起DHCP攻击，使其地址池资源全部耗尽，然后攻击者再启用假冒的DHCP服务器在网络中提供地址分配服务。

动态ARP检测原理及应用

动态ARP检测原理及应用在一个局域网中，网络安全可以通过多种方式来实现，而采取DHCP snooping（DHCP防护）及DAI检测（ARP防护）这种技术，保护接入交换机的每个端口，可以让网络更加安全，更加稳定，尽可能的减小中毒范围，不因病毒或木马导致全网的瘫痪。

下面将详细的对这种技术的原理和应用做出解释。

一、相关原理及作用1、DHCP snooping原理DHCP Snooping技术是DHCP安全特性，通过建立和维护DHCPSnooping绑定表过滤不可信任的DHCP信息，这些信息是指来自不信任区域的DHCP信息。

DHCP Snooping绑定表包含不信任区域的用户MAC地址、IP地址、租用期、VLAN-ID接口等信息。

当交换机开启了DHCP-Snooping后，会对DHCP报文进行“侦听”，并可以从接收到的DHCP Request或DHCP Ack报文中提取并记录IP地址和MAC地址信息。

另外，DHCP-Snooping允许将某个物理端口设置为信任端口或不信任端口。

信任端口可以正常接收并转发DHCPOffer报文，而不信任端口会将接收到的DHCP Offer报文丢弃。

这样，可以完成交换机对假冒DHCPServer的屏蔽作用，确保客户端从合法的DHCP Server获取IP地址。

2、DHCP snooping作用DHCP snooping的主要作用就是隔绝私接的DHCP server，防止网络因多个DHCPserver而产生震荡。

DHCPsnooping与交换机DAI技术的配合，防止ARP病毒的传播。

建立并维护一张DHCP snooping的“绑定表”，这张表可以通过dhcpack包中的ip和mac地址生成的，也可以通过手工指定。

它是后续DAI（Dynamic ARP Inspection）和IP Source Guard基础。

这两种类似的技术，是通过这张表来判定ip或者mac地址是否合法，来限制用户连接到网络的。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

配置DHCP Snooping的攻击防范功能示例组网需求如图1所示，SwitchA与SwitchB为接入设备，SwitchC为DHCP Relay。

Client1与Client2分别通过GE0/0/1与GE0/0/2接入SwitchA，Client3通过GE0/0/1接入SwitchB，其中Client1与Client3通过DHCP方式获取IPv4地址，而Client2使用静态配置的IPv4地址。

网络中存在非法用户的攻击导致合法用户不能正常获取IP地址，管理员希望能够防止网络中针对DHCP的攻击，为DHCP用户提供更优质的服务。

图1 配置DHCP Snooping的攻击防范功能组网图配置思路采用如下的思路在SwitchC上进行配置。

1.使能DHCP Snooping功能并配置设备仅处理DHCPv4报文。

2.配置接口的信任状态，以保证客户端从合法的服务器获取IP地址。

3.使能ARP与DHCP Snooping的联动功能，保证DHCP用户在异常下线时实时更新绑定表。

4.使能根据DHCP Snooping绑定表生成接口的静态MAC表项功能，以防止非DHCP用户攻击。

5.使能对DHCP报文进行绑定表匹配检查的功能，防止仿冒DHCP报文攻击。

6.配置DHCP报文上送DHCP报文处理单元的最大允许速率，防止DHCP报文泛洪攻击。

7.配置允许接入的最大用户数以及使能检测DHCP Request报文帧头MAC与DHCP数据区中CHADDR字段是否一致功能，防止DHCP Server服务拒绝攻击。

操作步骤1.使能DHCP Snooping功能。

# 使能全局DHCP Snooping功能并配置设备仅处理DHCPv4报文。

<HUAWEI> system-view[HUAWEI] sysname SwitchC[SwitchC] dhcp enable[SwitchC] dhcp snooping enable ipv4# 使能用户侧接口的DHCP Snooping功能。