DCNSAR欺骗与DCN防御手段v

DCN-TS16ARP欺骗与DCN防御手段Version1.0学习目标学完本课程，您应该能够：深刻理解ARP协议原理及其攻击手段深刻理解相应的防御手段及其原理ArpGuardDhcpSnoopingBindingARPBindingUserControlBindingDot1xAnti-Arpscan熟练掌握相关协议的配置、特点及其针对点掌握相关协议的分析及TroubleShooting课程内容第一章ARP协议原理及其攻击手段第二章DCN防御手段及原理第三章DCN防御协议配置第四章典型配置案例ARP协议介绍ARP，全称AddressResolutionProtocol，中文名为地址解析协议，它工作在数据链路层，在本层和硬件接口联系，同时对上层提供服务。IP数据包常通过以太网发送，以太网设备并不识别32位IP地址，它们是以48位以太网地址传输以太网数据包。因此，必须把IP目的地址转换成以太网目的地址。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。ARP协议用于将网络中的IP地址解析为的硬件地址（MAC地址），以保证通信的顺利进行。ARP的工作原理ARP的工作原理：1. 首先，每台主机都会在自己的ARP缓冲区(ARPCache)中建立一个ARP列表，以表示IP地址和MAC地址的对应关系。2. 当源主机需要将一个数据包要发送到目的主机时，会首先检查自己ARP列表中是否存在该IP地址对应的MAC地址，如果有﹐就直接将数据包发送到这个MAC地址；如果没有，就向本网段发起一个ARP请求的广播包，查询此目的主机对应的MAC地址。此ARP请求数据包里包括源主机的IP地址、硬件地址、以及目的主机的IP地址。3. 网络中所有的主机收到这个ARP请求后，会检查数据包中的目的IP是否和自己的IP地址一致。如果不相同就忽略此数据包；如果相同，该主机首先将发送端的MAC地址和IP地址添加到自己的ARP列表中，如果ARP表中已经存在该IP的信息，则将其覆盖，然后给源主机发送一个ARP响应数据包，告诉对方自己是它需要查找的MAC地址；4. 源主机收到这个ARP响应数据包后，将得到的目的主机的IP地址和MAC地址添加到自己的ARP列表中，并利用此信息开始数据的传输。如果源主机一直没有收到ARP响应数据包，表示ARP查询失败。RARP的工作原理RARP的工作原理：1.发送主机发送一个本地的RARP广播，在此广播包中，声明自己的MAC地址并且请求任何收到此请求的RARP服务器分配一个IP地址；2.本地网段上的RARP服务器收到此请求后，检查其RARP列表，查找该MAC地址对应的IP地址；3.如果存在，RARP服务器就给源主机发送一个响应数据包并将此IP地址提供给对方主机使用；4.如果不存在，RARP服务器对此不做任何的响应；5.源主机收到从RARP服务器的响应信息，就利用得到的IP地址进行通讯；如果一直没有收到RARP服务器的响应信息，表示初始化失败。ARP报文结构硬件类型协议类型硬件地址长度协议长度操作类型发送方的硬件地址（0-3字节）源物理地址（4-5字节）源IP地址（0-1字节）源IP地址（2-3字节）目标硬件地址（0-1字节）目标硬件地址（2-5字节）目标IP地址（0-3字节）ARP协议报文--RequestARP协议报文--ReplyARP协议报文--Gratuitous常见的ARP攻攻击手段段ARP扫描网关欺骗骗单播Request方式单播Reply方式广播Request方式主机欺骗骗单播Request方式单播Reply方式广播Request方式ARP攻击击手段段—ARP扫描描ARP攻击击手段段--网关关(主主机)欺骗骗/单单播RequestARP攻击击手段段--网关关(主主机)欺骗骗/单单播ReplyARP攻击击手段段--网关关欺骗骗--广播播Request课程内内容第一章章ARP协议原原理及及其攻攻击手手段第二章章DCN防御手手段及及原理理第三章章DCN防御协协议配配置第四章章典典型型配置置案例例Arp-Guard--介绍绍ARP协协议的的设计计存在在严重重的安安全漏漏洞，，任何何网络络设备备都可可以发发送ARP报报文通通告IP地地址址和MAC地地址的的映射射关系系。这这就为为ARP欺欺骗骗提供供了可可乘之之机，，攻击击者发发送ARPrequest报文文或者者ARPreply报报文文通告告错误误的IP地地址址和MAC地地址映映射关关系，，导致致网络络通讯讯故障障。ARPGuard功功能常常用于于保护护网关关不被被攻击击，如如果要要保护护网络络内的的所有有接入入PC不受受ARP欺欺骗攻攻击，，需要要在端端口配配置大大量受受保护护的ARPGuard地地址，，这将将占用用大量量芯片片FFP表表项项资源源，可可能会会因此此影响响到其其它应应用功功能，，并不不适合合。Arp-Guard--原理理主要攻攻击形形式（（如上上图））：ARP欺骗的的危害害主要要表项项为两两种形形式：：1、、PC4发送ARP报文通通告PC2的IP地址映映射为为自己己的MAC地址，，将导导致本本应该该发送送给PC2的IP报文全全部发发送到到了PC4，这样PC4就可以以监听听、截截获PC2的报文文；2、PC4发送ARP报文通通告PC2的IP地址映映射为为非法法的MAC地址，，将导导致PC2无法接接收到到本应应该发发送给给自己己的报报文。。特别别是如如果攻攻击者者假冒冒网关关进行行ARP欺骗，，将导导致整整个网网络瘫瘫痪。。防御手手段：：我们利利用交交换机机的过过滤表表项保保护重重要网网络设设备的的ARP表项不不能被被其它它设备备假冒冒。基基本原原理就就是利利用交交换机机的过过滤表表项，，检测测从端端口输输入的的所有有ARP报文，，如果果ARP报文的的源IP地址是受到到保护的IP地址，就直直接丢弃报报文，不再再转发。L3交换机PC1PC2PC3PC4PC5PC6HUBABCDDHCPSnooping--介绍绍（1）防伪装DHCPServer：DHCPSnooping最初的应用用是为了防防止用户私私设DHCP服务器，通通过启用DHCPSnooping，将交换机上上各端口定定义为Trust接口和Untrust接口，在Untrust接口判断是是否有DHCPServer才能发送的的DHCPOFFER、DHCPACK、DHCPNAK报文，如果果截获到这这些报文，，将发出警警告并做出出相应反应应（shutdown该接口或者者下发blockhole）。防DHCP过载攻击：：DHCPSnooping要对信任端端口和非信信任端口做做DHCP收包限速，，防止过多多的DHCP报文攻击CPU，实现了防止止DHCP过载攻击，，防止过多多的DHCP报文耗尽CPU资源。记录DHCP绑定数据：：DHCPSnooping在转发DHCP报文的同时时，记录DHCPSERVER分配的绑定定数据，并并可以把绑绑定数据上上载到指定定的服务器器进行备份份。添加绑定ARP：DHCPSnooping捕获到绑定定数据之后后，可以根根据绑定数数据中的参参数添加静静态绑定ARP，这样可以防防止交换机机的ARP表项欺骗骗。DHCPSnooping--介绍绍（2）添加信任用用户:DHCPSnooping捕获到绑定定数据之后后，可以根根据绑定数数据中的参参数添加添添加信任用用户表项，，这样这些些用户就可可以不经过过DOT1X认证而访问问所有资源源。自动恢复:交换机shutdown端口或者下下发blockhole一段时间后后，交换机机应主动恢恢复该端口口或源Mac的通讯，同同时通过syslog发送信息到到LogServer。LOG功能:交换机检测测发现异常常收包时；；或者自动动恢复时，，应自动发发送syslog信息到LogServer。DHCPSnooping—原理实现机制：：DHCPSnooping通过动态监监控客户端端从DHCP服务器获取取地址的过过程（或者者手工静态态绑定），，将客户端端的IP、MAC关联到具体体的交换机机端口，并并将该绑定定关系下发发给驱动，，只有符合合该绑定关关系的ARP报文交换机机才会转发发，从而实实现防ARP攻击。注意事项：：必须保证手手工静态绑绑定及第一一次动态获获取IP、MAC的正确性和和有效性不能阻止以以符合绑定定关系的IP、MAC为源的网段段扫描，请请注意结合合Anti-Arpscan使用Anti-Arpscan--介绍ARP扫扫描是一种种常见的网网络攻击方方式。为了了探测网段段内的所有有活动主机机，攻击源源将会产生生大量的ARP报报文在网段段内广播，，这些广播播报文极大大的消耗了了网络的带带宽资源；；攻击源甚甚至有可能能通过伪造造的ARP报文而而在网络内内实施大流流量攻击，，使网络带带宽消耗殆殆尽而瘫痪痪。而且ARP扫扫描通常是是其他更加加严重的攻攻击方式的的前奏，如如病毒自动动感染，或或者继而进进行端口扫扫描、漏洞洞扫描以实实施如信息息窃取、畸畸形报文攻攻击，拒绝绝服务攻击击等。由于ARP扫描给给网络的安安全和稳定定带来了极极大的威胁胁，所以防防ARP扫扫描功能能将具有重重大意义。。DCN系系列交换机机防ARP扫描的的整体思路路是若发现现网段内存存在具有ARP扫扫描特征的的主机或端端口，将切切断攻击源源头，保障障网络的安安全。Anti-Arpscan--原原理理实现现机机制制：：有有两两种种方方式式来来防防ARP扫描描：：基基于于端端口口和和基基于于IP。。基于于端端口口的的ARP扫描描会会计计算算一一段段时时间间内内从从某某个个端端口口接接收收到到的的ARP报文文的的数数量量，，若若超超过过了了预预先先设设定定的的阈阈值值，，则则会会down掉此此端端口口。。基基于于IP的ARP扫描描则则计计算算一一段段时时间间内内从从网网段段内内某某IP收到到的的ARP报文文的的数数量量，，若若超超过过了了预预先先设设置置的的阈阈值值，，则则禁禁止止来来自自此此IP的任任何何流流量量，，而而不不是是down掉与与此此IP相连连的的端端口口。。此此两两种种防防ARP扫描描功功能能可可以以同同时时启启用用。。端端口口或或IP被禁禁掉掉后后，，可可以以通通过过自自动动恢恢复复功功能能自自动动恢恢复复其其状状态态。。注意意事事项项：：为了了提提高高交交换换机机的的效效率率，，可可以以配配置置受受信信任任的的端端口口和和IP，，交换换机机不不检检测测来来自自受受信信任任的的端端口口或或IP的ARP报文文，，这这样样可可以以有有效效地地减减少少交交换换机机的的负负担担。。如果果PC1伪造造PC2发起起网网段段扫扫描描，，Anti-Arpscan（（基于于IP方式式））可可能能会会将将PC2给封封掉掉，，所所以以，，请请注注意意结结合合其其他他ARP防御御手手段段一一起起使使用用。。课程程内内容容第一一章章ARP协议议原原理理及及其其攻攻击击手手段段第二二章章DCN防御御手手段段及及原原理理第三三章章DCN防御御协协议议配配置置第四四章章典典型型配配置置案案例例Arp-Guard——配配置置命命令令arp-guardip命令令：：arp-guardip<addr>noarp-guardip<addr>功能能：：添添加加ARPGuard地址址。。参数数：：<addr>为受受到到保保护护的的以以点点分分十十进进制制形形式式表表示示的的IP地址址。。命令令模模式式：：端端口口配配置置模模式式。。缺省省情情况况：：没没有有ARPGuard地址址。。DHCPSnooping——配配置置任任务务1.启启动动DHCPSnooping2.启启动动DHCPSnooping绑绑定定功功能能3.启启动动DHCPSnooping绑绑定定ARP功功能能（（应应用用一一））4.启启动DHCPSnooping绑绑定DOT1X功功能（应应用二））5.启启动DHCPSnooping绑绑定USER功能能（应用用三）6.添添加静态态表项功功能（应应用四））7.设设置信任任端口8.设设置防御御动作9.设设置DHCP报报文速速率限制制DHCPSnooping—配置置命令（（1）ipdhcpsnooping命令：ipdhcpsnoopingenablenoipdhcpsnoopingenable功能：开开启DHCPSnooping功能。参数：无无。命令模式式：全局局配置模模式。缺省情况况：DHCPSnooping默认关闭闭。DHCPSnooping—配置置命令（（2）ipdhcpsnoopingbinding命令：ipdhcpsnoopingbindingenablenoipdhcpsnoopingbindingenable功能：开开启DHCPSnooping绑定功能能。参数：无无。命令模式式：全局局配置模模式。缺省情况况：DHCPSnooping绑定默认认关闭。。DHCPSnooping—配置置命令（（3）ipdhcpsnoopingbindingarp命令：ipdhcpsnoopingbindingarpnoipdhcpsnoopingbindingarp功能：开开启DHCPSnooping绑定ARP功能。参数：无无。命令模式式：全局局配置模模式。DHCPSnooping—配置置命令（（4）ipdhcpsnoopingbindingdot1x命令：ipdhcpsnoopingbindingdot1xnoipdhcpsnoopingbindingdot1x功能：开开启DHCPSnooping绑定DOT1X功能。参数：无无。命令模式式：端口口配置模模式。缺省情况况：所有有端口默默认不启启动绑定定DOT1X功能。DHCPSnooping—配置置命令（（5）ipdhcpsnoopingbindinguser-control命令：ipdhcpsnoopingbindinguser-controlnoipdhcpsnoopingbindinguser-control功能：开开启DHCPSnooping绑定用户户功能。。参数：无无。命令模式式：端口口配置模模式。缺省情况况：所有有端口默默认不启启动绑定定用户功功能。DHCPSnooping—配置置命令（（6）ipdhcpsnoopingbindinguser命令：ipdhcpsnoopingbindinguser<mac>address<ipAddr><mask>vlan<vid>interface[Ethernet]<ifname>noIpdhcpsnoopingbindinguser<mac>interface[Ethernet]<ifname>功能：配配置静态态绑定用用户信息息。参数：<mac>：静态绑定定用户的的MAC地址，MAC地址是绑绑定用户户的唯一一索引值值；<ipAddr>、<mask>：静态绑定定用户的的IP地址、掩掩码；<vid>：静态绑定定用户的的所属VLANID；<ifname>：静态绑定定用户的的接入端端口。命令模式式：全局局配置模模式。缺省情况况：DHCPSnooping默认没有有静态绑绑定表项项。DHCPSnooping—配置置命令（（7）ipdhcpsnoopingtrust命令：ipdhcpsnoopingtrustnoipdhcpsnoopingtrust功能：设设置或删删除端口口的DHCPSnooping信任属性性。参数：无无。命令模式式：端口口配置模模式。缺省情况况：所有有端口默默认为非非信任端端口DHCPSnooping—配置置命令（（8）ipdhcpsnoopingaction命令：：ipdhcpsnoopingaction{shutdown|blackhole}[recovery<second>]noipdhcpsnoopingaction功能：：设置置或删删除端端口上上的自自动防防御动动作。。参数：：shutdown：：端口检检测到到伪装装DHCPServer时，将将shutdown此端口口；blackhole：端口检检测到到伪装装DHCPServer时，将将以伪伪装数数据包包的vid和源mac设置blackhole来阻止止此Mac的流量量；Recovery：：用户可可选设设置自自动防防御动动作执执行后后还可可以自自动恢恢复（（noshut端口或或删除除相应应的blackhole）；；<second>：用户指指定多多长时时间后后恢复复防御御动作作，单单位：：秒，，范围围是10-3600。。命令模模式：：端口口配置置模式式。缺省情情况：：没有有默认认的防防御动动作。。DHCPSnooping—配配置命命令（（9））ipdhcpsnoopingactionMaxNum命令：：ipdhcpsnoopingaction{<maxNum>|default}功能：：设置置端口口上同同时生生效的的防御御动作作数目目。参数：：<maxNum>：每个端口口的防御御动作数数目，范范围是1-200，默默认为10；default：恢复默认认的防御御动作数数目。命令模式式：全局局配置模模式。缺省情况况：默认认数目为为10。。DHCPSnooping—配置置命令（（10））ipdhcpsnoopinglimit-rate命令：ipdhcpsnoopinglimit-rate<pps>noipdhcpsnoopinglimit-rate功能：设设置DHCP报文速率率限制。。参数：<pps>：每秒钟转转发的DHCP报文数量量，范围围是0-600，默认认为100。0表示示不再转转发DHCP报文。命令模式式：全局局配置模模式。缺省情况况：默认认数目为为100。Anti-Arpscan——配置任任务1)启启动防ARP扫扫描功功能2)配配置基于于端口和和基于IP的的防ARP扫扫描的阈阈值3）配置置信任端端口4）配置置信任IP5)配配置自动动恢复时时间6)显显示和调调试防ARP扫扫描相相关信息息Anti-Arpscan——配置命命令（1）anti-arpscanenable命令：anti-arpscanenablenoanti-arpscanenable功能：全全局启动动防ARP扫描功能能；no命令全局局关闭防防ARP扫描功能能。参数：无无。缺省情况况：关闭闭防ARP扫描功能能。命令模式式：全局局配置模模式。Anti-Arpscan——配置命命令（2）anti-arpscanport-basedthreshold<threshold-value>命令：anti-arpscanport-basedthreshold<threshold-value>noanti-arpscanport-basedthreshold功能：设设置基于于端口的的防ARP扫描的接接收ARP报文的阈阈值，如如果接收收的ARP报文的速速率超过过此设定定值，则则关闭此此端口。。单位为为个/秒秒。no命令恢复复为默认认值，即即10个个/秒秒。参数：速速率阈值值，有效效范围为为2-200。。缺省情况况：10个/秒。命令模式式：全局局配置模模式。Anti-Arpscan——配置命命令（3）anti-arpscanip-basedthreshold<threshold-value>命令：anti-arpscanip-basedthreshold<threshold-value>noanti-arpscanip-basedthreshold功能：设设置基于于IP的防ARP扫描的接接收ARP报文的阈阈值，如如果接收收的ARP报文的速速率超过过此设定定值，则则交换机机所有端端口都禁禁止接收收来自此此IP的IP报文，而而且和此此IP相连的端端口禁止止接收来来自此IP的ARP报文。单单位为个个/秒。。no命令恢复复为默认认值，即即3个个/秒。。参数：速速率阈值值，有效效范围为为1-200。。缺省情况况：3个个/秒秒。命令模式式：全局局配置模模式。Anti-Arpscan——配置命命令（4）anti-arpscantrust<port|supertrust-port>命令：anti-arpscantrust<port|supertrust-port>noanti-arpscantrust<port|supertrust-port>功能：配配置为信信任端口口或超级级信任端端口；no命令恢复复为非信信任端口口。参数：无无。缺省情况况：缺省省全部为为非信任任端口。。命令模式式：端口口配置模模式。Anti-Arpscan——配置命命令（5）anti-arpscantrustip<ip-address>[<netmask>]命令：anti-arpscantrustip<ip-address[<netmask>]>noanti-arpscantrustip<ip-address[<netmask>]>功能：配配置信任任IP；no命令恢复复为非信信任IP。参数：IP的子网掩掩码。缺省情况况：缺省省所有IP都为非信信任IP。掩码缺省省为255.255.255.255。命令模式式：全局局配置模模式。Anti-Arpscan——配置命命令（6）anti-arpscanrecoveryenable命令：anti-arpscanrecoveryenablenoanti-arpscanrecoveryenable功能：启启动自动动恢复功功能，no命令取消消自动恢恢复功能能。参数：无无。缺省情况况：启动动自动恢恢复功能能。命令模式式：全局局配置模模式。Anti-Arpscan——配置命命令（7）anti-arpscanrecoverytime<seconds>命令：anti-arpscanrecoverytime<seconds>noanti-arpscanrecoverytime功能：配配置自动动恢复时时间；no命令恢复复自动恢恢复时间间为默认认值。参数：自自动恢复复时间值值，单位位为秒。。有效范范围为5-86400秒。。缺省情况况：300秒秒。命令模式式：全局局配置模模式。课程内内容第一章章ARP协议原原理及及其攻攻击手手段第二章章DCN防御手手段及及原理理第三章章DCN防御协协议配配置第四章章典典型型配置置案例例典型案案例--拓拓扑图图192.168.1.128/24E0/0/1DCS-3950-28CTDCRS-7608IPv4192.168.1.1/24E0/0/24DHCPSRV192.168.1.10/24案例要求：1.通过Anti-Arpscan防御ARP扫描;2.通过Arp-Guard防御网关欺骗;3.通过DHCPSnooping绑定ARP防御交换机表项欺骗;4.通过DHCPSnooping绑定user-control防御主机欺骗。典型案案例——Anti-Arpscan配置置DCS-3950-28CT(Config)#anti-arpscanenable//全局使使能Anti-arpscan功能DCS