DHCP Snooping, Dynamic ARP Inspection e IP Source Guard possono contribuire a proteggere le reti di accesso da server DHCP non autorizzati, ARP spoofing e impersonificazione dell'indirizzo sorgente. Possono anche interrompere il traffico legittimo quando mancano i binding, i collegamenti uplink sono contrassegnati erroneamente come non attendibili o i dispositivi IP statici non sono stati presi in considerazione. Questa guida spiega l'ordine di configurazione e l'approccio alla risoluzione dei problemi per Cisco Catalyst 9200, 9300e 1300 interruttori.
Cosa fanno DHCP Snooping, DAI e IP Source Guard
Snooping DHCP
La funzione DHCP Snooping filtra i messaggi DHCP sulle interfacce non attendibili e registra le associazioni IP-MAC valide. Contribuisce a impedire che server DHCP non autorizzati, offerte DHCP false e informazioni errate sul gateway raggiungano i client.
Ispezione ARP dinamica
L'ispezione ARP dinamica convalida le richieste e le risposte ARP rispetto a informazioni attendibili. In un ambiente DHCP, le informazioni attendibili provengono normalmente dal database di binding DHCP Snooping.
DAI può contribuire a ridurre i rischi di ARP spoofing e man-in-the-middle all'interno di una VLAN di livello 2. Normalmente è abilitato per ogni VLAN e dovrebbe essere introdotto solo dopo aver verificato i binding DHCP necessari.
Protezione sorgente IP
IP Source Guard limita il traffico in base all'indirizzo IP di origine e, se configurato, all'indirizzo MAC di origine associato a un'interfaccia. Viene normalmente applicato alle porte Layer 2 rivolte verso i client.
Se un host non dispone di un binding DHCP Snooping valido o di un binding statico approvato, IP Source Guard potrebbe bloccare il suo traffico IP.
Inviaci il modello dello switch, le VLAN, i collegamenti uplink e il problema di associazione corrente.
Come le tre funzionalità interagiscono tra loro
Queste funzionalità dovrebbero essere considerate come una catena di dipendenze piuttosto che come tre interruttori di sicurezza indipendenti:
| Caratteristica | Funzione primaria | Dipendenza importante |
|---|---|---|
| Snooping DHCP | Crea il database di collegamento IP-MAC | Richiede una corretta pianificazione di VLAN e trust-port. |
| Ispezione ARP dinamica | Convalida i pacchetti ARP | Utilizza le associazioni DHCP Snooping o i controlli ARP approvati |
| Protezione sorgente IP | Limita il traffico IP di origine non autorizzata | Utilizza DHCP Snooping o associazioni di sorgenti statiche. |
Una sequenza di implementazione più sicura prevede di abilitare prima DHCP Snooping, verificare la tabella di binding e quindi abilitare DAI e IP Source Guard sulle interfacce selezionate. In questo modo è più facile identificare se un problema deriva dal filtro DHCP, dalla convalida ARP o dall'applicazione delle restrizioni sull'indirizzo IP di origine.
- Confermare la configurazione delle VLAN e dei trunk.
- Abilitare DHCP Snooping per le VLAN desiderate.
- Affidati esclusivamente alle interfacce DHCP approvate, sia quelle rivolte verso il server DHCP che quelle di uplink.
- Verificare che le associazioni client vengano apprese correttamente.
- Abilita DAI per le VLAN selezionate.
- Abilitare IP Source Guard sulle interfacce client appropriate.
- Aggiungi associazioni statiche per i dispositivi IP statici approvati.
- Verificare i contatori e la connettività dei client.
Configurazione IOS XE per Catalyst 9200 e 9300
I seguenti esempi utilizzano la VLAN 10 e un uplink su GigabitEthernet1/0/48Sostituire questi valori con la configurazione effettiva di VLAN e interfaccia dello switch.
Abilita DHCP Snoping
Configurare come attendibile l'interfaccia di uplink approvata o l'interfaccia rivolta verso il server DHCP:
Le porte endpoint ordinarie dovrebbero normalmente rimanere non attendibili. Non bisogna considerare attendibile un'interfaccia solo perché è configurata come trunk; l'attendibilità deve riflettere la direzione e il ruolo dell'interfaccia.
Abilita l'ispezione ARP dinamica
Il percorso di uplink o infrastruttura DHCP approvato potrebbe anche richiedere la fiducia DAI:
DAI dovrebbe essere abilitato solo dopo aver verificato che esistano i binding DHCP Snooping necessari. Senza binding validi, i pacchetti ARP legittimi potrebbero essere rifiutati.
Abilita IP SourceGuard
Su un'interfaccia Layer 2 rivolta al client, IP Source Guard può essere abilitato con:
Applica questa funzionalità in modo selettivo. Un trunk o un uplink solitamente richiedono una diversa configurazione di trust e binding e non dovrebbero essere limitati come soluzione temporanea.
Differenze tra l'interfaccia utente web e la riga di comando del C1300
Migliori Cisco Catalyst serie 1300 Utilizza un flusso di lavoro di gestione diverso rispetto agli switch Catalyst 9200 e 9300 basati su IOS XE.
A seconda del firmware installato, le aree dell'interfaccia utente Web pertinenti possono includere:
- Sicurezza > DHCP Snooping
- Sicurezza > Ispezione ARP dinamica
- Sicurezza > IP SourceGuard
- IP Source Guard > Database di binding
- Impostazioni di sicurezza dell'interfaccia o della VLAN
I nomi dei menu e le opzioni disponibili possono variare a seconda della versione del firmware. Consultare la Guida di amministrazione del C1300 più recente prima di apportare modifiche.
Flusso di lavoro C1300 consigliato
- Abilita DHCP Snooping a livello globale.
- Selezionare le VLAN che devono utilizzare DHCP Snooping.
- Contrassegna come attendibili le interfacce rivolte verso il server DHCP e le interfacce di uplink approvate.
- Abilita l'ispezione ARP per la VLAN desiderata.
- Abilitare IP Source Guard sulle porte rivolte verso i client o sui LAG.
- Aggiungi associazioni statiche per i dispositivi IP statici approvati.
- Esamina il database dei vincoli e le voci inattive.
L'interfaccia a riga di comando (CLI) del C1300 potrebbe fornire comandi per DHCP Snooping, ARP Inspection e IP Source Guard, ma è necessario verificare la disponibilità e la sintassi dei comandi in base alla versione installata. Non copiare una configurazione IOS XE completa direttamente su uno switch C1300.
Collegamenti uplink affidabili e porte del server DHCP
Una configurazione errata della fiducia è una delle cause più comuni di interruzione del servizio dopo l'attivazione di DHCP Snooping o DAI.
Interfacce di cui potrebbe essere necessario fidarsi
- L'interfaccia è connessa al server DHCP legittimo
- Il collegamento ascendente verso uno switch di distribuzione o centrale.
- Un trunk approvato che trasporta traffico DHCP.
- Un canale di porta autorizzato o LAG
- Un dispositivo di servizio di rete che fornisce legittimamente il DHCP
Interfacce che normalmente dovrebbero rimanere non affidabili
- porte di accesso utente
- porte di accesso per telefoni IP
- Interfacce VLAN client wireless
- Porte di accesso per telecamere e dispositivi IoT
- Porte di dispositivi downstream non gestite
Su un port channel, verificare lo stato di attendibilità dell'interfaccia logica e delle sue interfacce membro. Una mancata corrispondenza tra i membri fisici e il port channel può generare un comportamento di filtraggio imprevisto.
La fiducia dovrebbe basarsi sulla sorgente del traffico e sul ruolo di sicurezza dell'interfaccia, non semplicemente sul fatto che la porta sia veloce, orientata verso l'uplink o configurata come trunk.
Dispositivi IP statici e associazioni manuali
Il DHCP Snooping non può creare un binding dinamico per un dispositivo che non utilizza mai il DHCP. Esempi comuni includono server, stampanti, telecamere, sistemi di controllo accessi, firewall e dispositivi di gestione della rete.
Quando DAI o IP Source Guard sono abilitati per la VLAN, questi dispositivi potrebbero richiedere un'associazione manuale approvata o un'altra eccezione documentata.
Esempio di binding statico per iOS XE
Prima di aggiungere un binding statico, verifica l'indirizzo MAC, la VLAN, l'indirizzo IP e l'interfaccia. Un binding errato può bloccare l'host previsto o consentire il traffico sulla porta sbagliata.
Gestione dei dispositivi statici C1300
Sul dispositivo C1300, esaminare il database di binding IP Source Guard e aggiungere le voci statiche approvate tramite l'interfaccia disponibile. Verificare lo stato del binding dopo aver salvato la configurazione.
Non utilizzare associazioni statiche su un collegamento uplink come soluzione temporanea per un problema più ampio relativo al trunk, alla VLAN o allo stato di fiducia. Prima di tutto, verifica a quale host statico è effettivamente connesso e quale VLAN deve veicolare il suo traffico.
Perché il traffico legittimo viene interrotto
Quando le funzionalità di sicurezza iniziano a bloccare il traffico, prima di disabilitare tutte le protezioni o di contrassegnare ogni interfaccia come attendibile, è necessario verificare il database di binding e lo stato di attendibilità.
| Sintomo | Causa probabile | Primo controllo |
|---|---|---|
| I client non possono ottenere indirizzi DHCP | Il percorso o il collegamento uplink del server DHCP non è attendibile. | Stato di fiducia di DHCP Snooping |
| DAI scarta i pacchetti ARP validi | Il binding DHCP è mancante o errato | Tabella di associazione DHCP Snooping |
| Un dispositivo IP statico perde l'accesso | Non esiste alcun binding statico approvato | IP Source Guard o Binding Database |
| Una VLAN a valle smette di funzionare | Il trunk non è attendibile oppure la VLAN non è presente. | Elenco VLAN trunk e stato di fiducia |
| IP Source Guard blocca il traffico dei client | Il client non ha un binding valido | Tabella di contratto e vincolo del cliente |
| I pacchetti ARP vengono scartati a intermittenza | Limite di velocità DAI o problema di burst ARP | Statistiche DAI e impostazioni di frequenza |
| Il legame con C1300 è inattivo | Problema relativo a VLAN, trust o risorse hardware. | Stato del database di collegamento |
Verifica DHCP Snooping
Verificare che DHCP Snooping sia abilitato a livello globale, che la VLAN desiderata sia inclusa, che l'interfaccia rivolta verso il server sia considerata attendibile e che le associazioni client vengano apprese correttamente.
Scopri l'ispezione ARP dinamica
Verifica che DAI sia abilitato sulle VLAN corrette, che le interfacce attendibili corrispondano alla topologia e che le perdite di pacchetti non siano causate da associazioni mancanti o limiti di velocità.
Verifica la sorgente IP di Guard
Verificare che IP Source Guard sia applicato solo alle interfacce destinate ai client, che i client dinamici abbiano associazioni valide e che i dispositivi statici abbiano voci manuali approvate.
Focus sulla risoluzione dei problemi del C1300
Sul C1300, esaminare separatamente le pagine relative a DHCP Snooping, ARP Inspection e IP Source Guard. Il database di binding deve essere controllato per ID VLAN, indirizzo MAC, indirizzo IP, interfaccia, stato e motivo di inattività della voce.
Domande frequenti
Takeaway finale
DHCP Snooping, Dynamic ARP Inspection e IP Source Guard sono più efficaci se implementati in una sequenza controllata. Creare e verificare prima il database di binding DHCP, quindi introdurre l'applicazione delle policy ARP e IP di origine sulle interfacce che ne hanno bisogno.
Per i modelli Catalyst 9200 e 9300, seguire il percorso di configurazione IOS XE. Per il modello Catalyst 1300, utilizzare l'interfaccia utente Web e il flusso di lavoro CLI specifico per la release. I controlli operativi più importanti riguardano il percorso del server DHCP, l'affidabilità dell'uplink, le associazioni IP statiche, la coerenza delle VLAN e i contatori di sicurezza.
Per una revisione specifica della configurazione, Invia il modello di Catalyst e i requisiti VLAN prima di applicare la politica di sicurezza all'ambiente di produzione.