作为一名合格的网工,你必须掌握的DHCP Snooping知识!
大家好,今天为大家带来了DHCP Snooping的工作原理,准备好,我们马上开始!
DHCP Snooping顾名思义是跟DHCP有关的,他是DHCP的一种安全特性,用于保证DHCP客户端从合法DHCP服务器获取IP地址,并记录HDCP客户端IP地址与MAC地址参数的对应关系,防止网络上针对DHCP攻击。
DHCP Snooping有以下两种功能:
1.信任功能:DHCP Snooping信任功能将接口分为信任接口和非信任接口,这样能够保证客户端从合法的服务器获取IP地址
2.分析功能:开启DHCP Snooping功能后,设备能够通过分析DHCP报文交互的过程,生成DHCP Snooping绑定表,绑定表项包括客户端的MAC地址、获取到的IP地址、与DHCP客户端连接的接口以及该接口所属的VLAN,租约信息。
DHCP Snooping在哪些场景中能够应用呢?
1.防止DHCP Server仿冒者攻击
攻击原理:
由于DHCP Server和DHCP Client之间没有认证机制,所以当网络中随意增加一台DHCP服务器,他就可以冒充真正的服务器给网络中的其他设备分配IP地址和其他网络参数。如果该DHCP服务器分配的IP地址是错误的,那就会对网络造成非常大的影响。
解决方法:
如图所示,为了防止DHCP Server仿冒者攻击,可以将设备上接口配置为“Trusted”和“Untrusted”工作模式。将与合法的DHCP服务器的连接用“Trusted”接口,其他接口设置为“Untrusted”接口,当从“Untrusted”接口收到DHCP回应报文将直接丢弃,这样就可以防止DHCP Server仿冒者的攻击。
2.DHCP报文防洪攻击
攻击原理:
网络中的某台攻击设备,向服务器发送大量的DHCP Discover报文,导致服务器处理不过来,最后服务器瘫痪。
解决方法:
在使能设备的DHCP Snooping功能时,可同时使能设备对DHCP报文上送DHCP报文处理单元的速率进行检测的功能。此后,设备将会检测DHCP报文的上送速率,并仅允许在规定速率内的报文送至DHCP报文处理单元,而超过规定速率的报文将会被丢弃。
3.DHCP Server服务拒绝攻击(饿死)
攻击原理:
如图所示,假设interface 1接口下存在大量攻击者恶意申请的IP地址,那么就会导致DHCP Server中的IP地址快速耗尽而不能为其他合法用户提供IP地址分配服务。
解决方法:
为了抑制大量的DHCP用户恶意申请IP地址,在使能设备的DHCP Snooping功能后,可配置设备接口允许接入的最大DHCP用户数,当接入的用户数达到该值时,则不再允许任何用户通过此设备或接口成功申请到IP地址
免费下载试听课https://jinshuju.net/f/l1c6RX
使命召唤6 下载 http://www.xinzhiliao.com/bj/anmo/6746.html- 标签:
- 编辑:夏学礼
- 相关文章
-
桂林三日游(桂林三日游最佳路线图)
要成功,就要时时怀着得意淡然、失意坦然的乐观态度,笑对自己的挫折和苦难,去做,去努力,去争取成功! 阅读前请点击关注,每天2篇…
- 桂林理工大学(桂林理工大学是一本还是二本)
- 桂林疫情最新消息(桂林疫情最新消息今天新增一例)
- 桂林是哪个省(桂林是哪个省的地方)
- 热播影视一网打尽 热销高清播放器全推荐
- 权威发布丨重拳打击电影侵权盗版违法犯罪 成功侦破春节档电影侵权盗版“2·15”系
- 刘松仁主演的电视剧(刘松仁十大经典角色)
- 乐视网高清热播影视排行榜
- 谢天华微博(谢天华拍过哪些电视剧他最经典的角色有哪些)
- 《这!就是潮流》8强选手复刻经典影视剧中角色
- 桂林天气预报15天天气(南宁天气预报15天天气)