DHCP snooping、DHCP安全及威胁防范

DHCP snooping、DHCP安全及威胁防范

[SW1]display dhcp snooping user-bind all，查看DHCP snooping表项。

DHCP snooping：

表项是通过服务器发送给客户端的ACK报文生成的。

只能在交换机上开启，路由器不支持，并且建议在接入交换机开启（汇聚和核心交换机开启没有意义）

主要原理：当DHCP服务器给客户端回复ACK报文时，会在交换机连接终端的接口生成snooping表项。

snooping表项包含：MAC地址，IP地址，接口编号，VLAN-ID，租期信息。

snooping表项的老化时间根据租期而定，同时如果终端发送释放报文那么绑定表也会随之删除。

书签-DHCP主要的攻击方式：

一、DHCP饿死攻击：攻击者伪装成主机向DHCP Server服务器请求IP分配，耗尽服务器的地址池地址，是的正常PC无法请求到可以使用的IP。

1、防御饿死攻击：

可以通过开启DHCP请求消息中数据链路层MAC地址和报文中CHADDR字段一致性检查，如果不一致就会认为是攻击，丢弃该报文。

[SW1]dhcp enable //首先，全局使能DHCP功能

[SW1]dhcp snooping enable //全局使能DHCP Snooping功能

[SW1-GigabitEthernet0/0/1]dhcp snooping enable //接口下使能DHCP snooping功能

[SW1-vlan1]dhcp snooping enable //在vlan视图下使能DHCP snooping，即在该vlan下的所有接口都使能

[SW1-GigabitEthernet0/0/1]dhcp snooping check dhcp-chaddr enable //开启chaddr一致性检查

如何判断发生了饿死攻击：可以通过检查DHCP服务器地址池分配是否存在异常来判断是否发生了饿死攻击！！！

防御变异的饿死攻击：

对于攻击者将帧源MAC和CHADDR的MAC同时修改的场景，一致性检查无效，实际该场景没有预防措施。

对于这种场景我们可以通过限制接口snooping表项数量来控制。

[SW1-GigabitEthernet0/0/1]dhcp snooping max-user-number 1~1024个；//限制该接口学习snooping表项的数量

2、DHCP客户端伪造DHCP报文攻击：

攻击者仿冒合法用户发送request报文续租IP导致IP无法被正常回收，久而久之，将没有空闲IP分配给合法终端；

攻击者仿冒合法用户发送release报文释放IP地址，导致合法用户异常下线。

[SW1-GigabitEthernet0/0/1]dhcp snooping check dhcp-request enable //开启DHCP请求消息与绑定表匹配查询。

3、非DHCP客户端伪造DHCP报文攻击：

[SW1-GigabitEthernet0/0/1]dhcp snooping sticky-mac，//开启设备基于DHCP snooping表项粘滞功能的MAC地址表学习机制，默认关闭MAC地址表学习功能，且报文不予转发。

功能相似：[SW1-GigabitEthernet0/0/1]mac-address learning disable action discard；

特别注意：一旦配置这条命令，这个接口就只能连接DHCP客户端，对于静态IP配置的终端无法进行通讯。

4、DHCP报文泛洪攻击：

[SW1]DHCP snooping check dhcp-rate enable //全局开启接口处理DHCP报文的频率功能。用来防止PC一秒钟发送成千上万次的正常的DHCP请求

[SW1]dhcp snooping check dhcp-rate 1~100 //每秒钟处理1~100和DHCP数据包

5、仿冒DHCP Server攻击：

私接路由器等设备，成为假的DHCP Server给同网络的终端分配地址。（交换机出来的网线接入到路由器LAN口，LAN口默认开启了DHCP功能）

信任接口和非信任接口

启用了DHCP snooping功能的交换机所有接口默认情况下都是非信任接口 该接口没有snooping表项

        5.1 非信任接口收到DHCP请求消息时，只转发给信任接口。

              非信任接口收到DHCP响应消息时，直接丢弃

        5.2 信任接口收到了DHCP请求消息时，会转发给其他的信任接口，如果没有，将丢弃

              信任接口收到了DHCP响应消息时，会发给非信任接口

[SW1-GigabitEthernet0/0/3]dhcp snooping trusted //将该接口配置为信任接口

6、DHCP中间人攻击：

[SW1]arp dhcp-snooping-detect enable //全局开启基于DHCP snooping绑定表的动态ARP检测。