如何開啟Cisco交換機DHCP Snooping的功能
如何開啟Cisco交換機DHCP Snooping的功能
你還在為開啟Cisco交換機DHCP Snooping的功能而煩惱么?不用擔心，接下來是學習啦小編為大家收集的開啟Cisco交換機DHCP Snooping的功能方法，歡迎大家閱讀：
開啟Cisco交換機DHCP Snooping的功能的方法
一、IP地址盜用
IP地址的盜用方法多種多樣，其常用方法主要有以下幾種：
1、靜態修改IP地址
對于任何一個TCP/IP實現來說，IP地址都是其用戶配置的必選項。如果用戶在配置TCP/IP或修改TCP/IP配置時，使用的不是授 權分配的IP地址，就形成了IP地址盜用。由于IP地址是一個邏輯地址，因此無法限制用戶對于其主機IP地址的靜態修改。
2、成對修改IP-MAC地址
對于靜態修改IP地址的問題，現在很多單位都采用IP與MAC綁定技術加以解決。針對綁定技術，IP盜用技術又有了新的發展，即成對修改 IP-MAC地址。現在的一些兼容網卡，其MAC地址可以使用網卡配置程序進行修改。如果將一臺計算機的 IP地址和MAC地址都改為另外一臺合法主機的IP地址和MAC地址，其同樣可以接入網絡。
另外，對于那些MAC地址不能直接修改的網卡來說，用戶還可以采用軟件的辦法來修改MAC地址，即通過修改底層網絡軟件達到欺騙上層網絡軟件的目的。
3、動態修改IP地址
某些攻擊程序在網絡上收發數據包，可以繞過上層網絡軟件，動態修改自己的 IP地址(或IP-MAC地址對)，以達到IP欺騙。
二、IP Source Guard技術介紹
IP源防護(IP Source Guard，簡稱IPSG)是一種基于IP/MAC的端口流量過濾技術，它可以防止局域網內的IP地址欺騙攻擊。IPSG能夠確保第2層網絡中終端設備的IP地址不會被劫持，而且還能確保非授權設備不能通過自己指定IP地址的方式來訪問網絡或攻擊網絡導致網絡崩潰及癱瘓。
交換機內部有一個IP源綁定表(IP Source Binding Table)作為每個端口接受到的數據包的檢測標準，只有在兩種情況下，交換機會轉發數據：
所接收到的IP包滿足IP源綁定表中Port/IP/MAC的對應關系
所接收到的是DHCP數據包
其余數據包將被交換機做丟棄處理。
IP源綁定表可以由用戶在交換機上靜態添加，或者由交換機從DHCP監聽綁定表(DHCP Snooping Binding Table)自動學習獲得。 靜態配置是一種簡單而固定的方式，但靈活性很差，因此Cisco建議用戶最好結合DHCP Snooping技術使用IP Source Guard，由DHCP監聽綁定表生成IP源綁定表。
以DHCP Snooping技術為前提講一下IP Source Guard技術的原理。 在這種環境下，連接在交換機上的所有PC都配置為動態獲取IP地址，PC作為DHCP客戶端通過廣播發送DHCP請求，DHCP服務器將含有IP地址信息的DHCP回復通過單播的方式發送給DHCP客戶端，交換機從DHCP報文中提取關鍵信息(包括IP地址，MAC地址，vlan號，端口號，租期等)，并把這些信息保存到 DHCP 監聽綁定表中。(以上這個過程是由DHCP Snooping完成的)
接下來的由IP Source Guard完成。交換機根據DHCP監聽綁定表的內容自動生成IP源綁定表，然后IOS根據IP源綁定表里面的內容自動在接口加載基于端口的VLAN ACL(PVACL)，由該ACL(可以稱之為源IP地址過濾器)來過濾所有IP流量。客戶端發送的IP數據包中，只有其源IP地址滿足源IP綁定表才會被發送，對于具有源IP綁定表之外的其他源IP地址的流量，都將被過濾。
PC沒有發送DHCP請求時，其連接的交換機端口默認拒絕除了DHCP請求之外的所有數據包，因此PC使用靜態IP是無法連接網絡的(除非已經存在綁定好的源IP綁定條目，如靜態源IP綁定條目或者是之前已經生成的動態IP綁定條目還沒過期，而且PC還必須插在正確的端口并設置正確的靜態IP地址)。
IP源防護只支持第2層端口，其中包括接入(access)端口和干道(trunk)接口。IP源防護的信任端口/非信任端口也就是DHCP監聽的信任端口/非信任端口。對于非信任端口存在以下兩種級別的IP流量安全過濾：
源IP地址過濾：根據源IP地址對IP流量進行過濾，只有當源IP地址與IP源綁定條目匹配，IP流量才允許通過。當端口創建、 修改、 刪除新的IP源綁定條目的時候，IP源地址過濾器將發生變化。為了能夠反映IP源綁定的變更，端口PACL將被重新修改并重新應用到端口上。 默認情況下，如果端口在沒有存在IP源綁定條目的情況下啟用了IP源防護功能，默認的PACL將拒絕端口的所有流量(實際上是除 DHCP報文以外的所有IP流量)。
源IP和源MAC地址過濾：根據源IP地址和源MAC地址對IP流量進行過濾，只有當源IP地址和源MAC地址都與IP源綁定條目匹配，IP流量才允許通過。當以IP和MAC地址作為過濾的時候，為了確保DHCP協議能夠正常的工作，還必須啟用DHCP監聽選項82。 對于沒有選項82的數據，交換機不能確定用于轉發DHCP服務器響應的客戶端主機端口。相反地，DHCP服務器響應將被丟棄，客戶機也不能獲得IP地址。
注：交換機使用端口安全(Port Security)來過濾源MAC地址。
當交換機只使用“IP源地址過濾”時，IP源防護功能與端口安全功能是相互獨立的關系。 端口安全是否開啟對于IP源防護功能來說不是必須的。 如果同時開啟，則兩者也只是一種寬松的合作關系，IP源防護防止IP地址欺騙，端口安全防止MAC地址欺騙。而當交換機使用“源IP和源MAC地址過濾”時，IP源防護功能與端口安全功能是就變成了一種“集成”關系，更確切的說是端口安全功能被集成到 IP源防護功能里，作為IP源防護的一個必須的組成部分。
在這種模式下，端口安全的違規處理(violation)功能將被關閉。對于非法的二層報文，都將只是被簡單的丟棄，而不會再執行端口安全的違規處理了。IP源防護功能不能防止客戶端PC的ARP攻擊。ARP攻擊問題必須由DAI功能來解決。如果要支持IP源防護功能，必須是35系列及以上的交換機。2960目前不支持該功能。三、IP Source Guard的配置(IPSG配置前必須先配置ip dhcp snooping)
看了“開啟Cisco交換機DHCP Snooping的功能”還想看：