Funkcje DHCP Snooping, Dynamic ARP Inspection i IP Source Guard mogą pomóc chronić sieci dostępowe przed nieautoryzowanymi serwerami DHCP, podszywaniem się pod ARP i podszywaniem się pod adres źródłowy. Mogą one również przerywać legalny ruch w przypadku braku powiązań, nieprawidłowego oznaczenia łączy uplink jako niezaufanych lub braku uwzględnienia urządzeń ze statycznym adresem IP. Niniejszy przewodnik wyjaśnia kolejność konfiguracji i sposób rozwiązywania problemów. Cisco Catalyst 9200, 9300, 1300 przełączników.
Co robią DHCP Snooping, DAI i IP Source Guard
Śledzenie DHCP
DHCP Snooping filtruje komunikaty DHCP na niezaufanych interfejsach i rejestruje prawidłowe powiązania IP-MAC. Pomaga zapobiegać dotarciu do klientów nieautoryzowanych serwerów DHCP, fałszywych ofert DHCP i nieprawidłowych informacji o bramie.
Dynamiczna inspekcja ARP
Dynamiczna inspekcja ARP weryfikuje żądania i odpowiedzi ARP pod kątem zaufanych informacji. W środowisku DHCP zaufane informacje zazwyczaj pochodzą z bazy danych powiązań DHCP Snooping.
DAI może pomóc zmniejszyć ryzyko podszywania się pod ARP i ataków typu man-in-the-middle w sieci VLAN warstwy 2. Zazwyczaj jest włączane dla każdej sieci VLAN i powinno zostać wprowadzone dopiero po sprawdzeniu wymaganych powiązań DHCP.
Ochrona źródła adresu IP
IP Source Guard ogranicza ruch na podstawie źródłowego adresu IP oraz, jeśli jest skonfigurowany, źródłowego adresu MAC powiązanego z interfejsem. Jest on zazwyczaj stosowany do portów warstwy 2 skierowanych do klienta.
Jeśli host nie ma prawidłowego powiązania DHCP Snooping lub zatwierdzonego powiązania statycznego, IP Source Guard może odrzucić jego ruch IP.
Wyślij informacje o modelu przełącznika, sieciach VLAN, łączach uplink i aktualnym problemie z powiązaniem.
Jak te trzy funkcje współdziałają
Funkcje te należy postrzegać jako łańcuch zależności, a nie jako trzy niezależne od siebie przełączniki bezpieczeństwa:
| Cecha | Podstawowa funkcja | Ważna zależność |
|---|---|---|
| Śledzenie DHCP | Buduje bazę danych powiązań IP-MAC | Wymaga prawidłowego planowania sieci VLAN i portu zaufania |
| Dynamiczna inspekcja ARP | Sprawdza poprawność pakietów ARP | Wykorzystuje powiązania DHCP Snooping lub zatwierdzone kontrole ARP |
| Ochrona źródła adresu IP | Ogranicza nieautoryzowany ruch IP źródłowy | Używa DHCP Snooping lub statycznych powiązań źródłowych |
Bezpieczniejsza sekwencja wdrażania polega na włączeniu najpierw funkcji DHCP Snooping, weryfikacji tabeli powiązań, a następnie włączeniu DAI i IP Source Guard na wybranych interfejsach. Ułatwia to identyfikację, czy problem wynika z filtrowania DHCP, walidacji ARP, czy egzekwowania zasad dotyczących źródłowego adresu IP.
- Potwierdź projekt sieci VLAN i łącza.
- Włącz DHCP Snooping dla wymaganych sieci VLAN.
- Zaufaj wyłącznie zatwierdzonym interfejsom DHCP skierowanym na serwer i interfejsom łącza uplink.
- Sprawdź, czy powiązania klienta są zapamiętywane.
- Włącz DAI dla wybranych sieci VLAN.
- Włącz IP Source Guard na odpowiednich interfejsach skierowanych do klienta.
- Dodaj powiązania statyczne dla zatwierdzonych urządzeń ze statycznym adresem IP.
- Sprawdź liczniki i łączność klienta.
Konfiguracja iOS XE dla Catalyst 9200 i 9300
W poniższych przykładach użyto sieci VLAN 10 i łącza uplink na GigabitEthernet1/0/48. Zastąp te wartości rzeczywistą siecią VLAN i projektem interfejsu na przełączniku.
Włącz podsłuchiwanie DHCP
Skonfiguruj zatwierdzony interfejs łącza uplink lub interfejs skierowany do serwera DHCP jako zaufany:
Zwykłe porty punktów końcowych powinny zazwyczaj pozostać niezaufane. Nie ufaj interfejsowi tylko dlatego, że jest skonfigurowany jako magistrala; zaufanie powinno odzwierciedlać kierunek i rolę interfejsu.
Włącz dynamiczną inspekcję ARP
Zatwierdzona ścieżka łącza w górę lub infrastruktury DHCP może również wymagać zaufania DAI:
Protokół DAI należy włączyć dopiero po sprawdzeniu, czy istnieją wymagane powiązania DHCP Snooping. Bez prawidłowych powiązań, legalne pakiety ARP mogą zostać odrzucone.
Włącz ochronę źródła IP
W interfejsie warstwy 2 skierowanym do klienta funkcję IP Source Guard można włączyć za pomocą:
Zastosuj tę funkcję selektywnie. Łącze trunkingowe lub łącze uplink zazwyczaj wymaga innego modelu zaufania i powiązania i nie powinno być ograniczane jako szybkie obejście.
Różnice między interfejsem użytkownika sieci Web a interfejsem wiersza poleceń C1300
Seria Cisco Catalyst 1300 korzysta z innego przepływu pracy zarządzania niż przełączniki Catalyst 9200 i 9300 oparte na systemie IOS XE.
W zależności od zainstalowanego oprogramowania sprzętowego, odpowiednie obszary interfejsu użytkownika sieci Web mogą obejmować:
- Bezpieczeństwo > Podsłuchiwanie DHCP
- Bezpieczeństwo > Dynamiczna inspekcja ARP
- Bezpieczeństwo > Ochrona źródła IP
- Ochrona źródła IP > Baza danych powiązań
- Ustawienia zabezpieczeń interfejsu lub sieci VLAN
Nazwy menu i dostępne opcje mogą się różnić w zależności od wersji oprogramowania. Przed zastosowaniem zmian zapoznaj się z aktualną instrukcją administratora C1300.
Zalecany przepływ pracy C1300
- Włącz globalnie DHCP Snooping.
- Wybierz sieci VLAN, które powinny używać funkcji DHCP Snooping.
- Oznacz interfejsy łącza wstecznego i interfejsy DHCP zatwierdzone jako zaufane.
- Włącz inspekcję ARP dla wymaganej sieci VLAN.
- Włącz funkcję IP Source Guard na portach skierowanych do klienta lub grupach LAG.
- Dodaj powiązania statyczne dla zatwierdzonych urządzeń ze statycznym adresem IP.
- Przejrzyj bazę danych powiązań i nieaktywne wpisy.
Interfejs wiersza poleceń C1300 może udostępniać polecenia dla DHCP Snooping, ARP Inspection i IP Source Guard, ale dostępność i składnię poleceń należy sprawdzić w odniesieniu do zainstalowanej wersji. Nie należy kopiować pełnej konfiguracji IOS XE bezpośrednio na przełącznik C1300.
Zaufane łącza uplink i porty serwera DHCP
Nieprawidłowa konfiguracja zaufania jest jedną z najczęstszych przyczyn awarii po włączeniu DHCP Snooping lub DAI.
Interfejsy, którym może być konieczne zaufanie
- Interfejs połączony z legalnym serwerem DHCP
- Łącze w górę do przełącznika dystrybucyjnego lub rdzeniowego
- Zatwierdzony port przenoszący ruch DHCP
- Autoryzowany kanał portowy lub LAG
- Urządzenie usługi sieciowej, które legalnie zapewnia protokół DHCP
Interfejsy, które normalnie powinny pozostać niezaufane
- Porty dostępu użytkownika
- Porty dostępowe telefonów IP
- Interfejsy VLAN klienta bezprzewodowego
- Porty dostępu do kamery i IoT
- Niezarządzane porty urządzeń downstream
Na kanale portowym należy zweryfikować stan zaufania interfejsu logicznego i interfejsów członkowskich. Niezgodność między członkami fizycznymi a kanałem portowym może powodować nieoczekiwane działanie filtrowania.
Zaufanie powinno opierać się na źródle ruchu i roli zabezpieczeń interfejsu, a nie tylko na tym, czy port jest szybki, skierowany do łącza w górę lub skonfigurowany jako łącze trunkingowe.
Statyczne urządzenia IP i powiązania ręczne
DHCP Snooping nie może utworzyć dynamicznego powiązania dla urządzenia, które nigdy nie korzysta z DHCP. Typowe przykłady obejmują serwery, drukarki, kamery, systemy kontroli dostępu, zapory sieciowe i urządzenia do zarządzania siecią.
Jeśli dla sieci VLAN włączona jest funkcja DAI lub IP Source Guard, urządzenia te mogą wymagać zatwierdzonego ręcznego powiązania lub innego udokumentowanego wyjątku.
Przykład statycznego wiązania IOS XE
Przed dodaniem powiązania statycznego sprawdź adres MAC, sieć VLAN, adres IP i interfejs. Nieprawidłowe powiązanie może zablokować docelowy host lub zezwolić na ruch na niewłaściwym porcie.
Obsługa urządzeń statycznych C1300
W przypadku C1300 przejrzyj bazę danych powiązań IP Source Guard i dodaj zatwierdzone wpisy statyczne za pośrednictwem dostępnego interfejsu. Sprawdź status powiązań po zapisaniu konfiguracji.
Nie używaj statycznych powiązań na łączu uplink jako obejścia szerszego problemu z magistralą, siecią VLAN lub stanem zaufania. Najpierw sprawdź, gdzie faktycznie podłączony jest host statyczny i która sieć VLAN powinna obsługiwać jego ruch.
Dlaczego legalny ruch jest pomijany
Gdy funkcje bezpieczeństwa zaczną odrzucać ruch, sprawdź bazę danych powiązań i stan zaufania, zanim wyłączysz wszystkie zabezpieczenia lub oznaczysz każdy interfejs jako zaufany.
| Objaw | Prawdopodobna przyczyna | Pierwsza kontrola |
|---|---|---|
| Klienci nie mogą uzyskać adresów DHCP | Ścieżka serwera DHCP lub łącze w górę nie są godne zaufania | Stan zaufania DHCP Snooping |
| DAI odrzuca prawidłowe pakiety ARP | Brak powiązania DHCP lub jest ono nieprawidłowe | Tabela powiązań DHCP Snooping |
| Urządzenie ze statycznym adresem IP traci dostęp | Nie istnieje zatwierdzone wiązanie statyczne | Ochrona źródła IP lub baza danych wiążąca |
| Sieć VLAN downstream przestaje działać | Połączenie nie jest zaufane lub brakuje sieci VLAN | Lista sieci VLAN i stan zaufania |
| IP Source Guard blokuje ruch klienta | Klient nie ma ważnego zobowiązania | Tabela umów najmu i wiążących umów klienta |
| Pakiety ARP są okresowo gubione | Problem z limitem szybkości transmisji DAI lub pakietem ARP | Statystyki DAI i ustawienia szybkości |
| Wiązanie C1300 jest nieaktywne | Problem z siecią VLAN, zaufaniem lub zasobami sprzętowymi | Status bazy danych powiązań |
Zweryfikuj podsłuchiwanie DHCP
Sprawdź, czy funkcja DHCP Snooping jest globalnie włączona, czy dołączono żądaną sieć VLAN, czy interfejs skierowany do serwera jest zaufany, a powiązania klienta są rozpoznawane.
Zweryfikuj dynamiczną inspekcję ARP
Sprawdź, czy DAI jest włączony w odpowiednich sieciach VLAN, czy zaufane interfejsy są zgodne z topologią i czy przerwy nie są spowodowane brakującymi powiązaniami lub limitami przepustowości.
Zweryfikuj źródło IP Guard
Sprawdź, czy IP Source Guard jest stosowany wyłącznie do docelowych interfejsów skierowanych do klienta, czy klienci dynamiczni mają prawidłowe powiązania, a urządzenia statyczne mają zatwierdzone wpisy ręczne.
Skupienie się na rozwiązywaniu problemów C1300
W przypadku C1300 należy osobno sprawdzić strony DHCP Snooping, ARP Inspection i IP Source Guard. Baza danych powiązań powinna być sprawdzona pod kątem identyfikatora VLAN, adresu MAC, adresu IP, interfejsu, statusu i przyczyny braku aktywności.
Najczęściej zadawane pytania
Ostateczne jedzenie na wynos
Podsłuchiwanie DHCP, dynamiczna inspekcja ARP i ochrona źródła IP są najskuteczniejsze, gdy są wdrażane w kontrolowanej sekwencji. Najpierw należy zbudować i zweryfikować bazę danych powiązań DHCP, a następnie wprowadzić ARP i wymuszanie dostępu do źródła IP na interfejsach, które tego wymagają.
W przypadku Catalyst 9200 i 9300 należy postępować zgodnie ze ścieżką konfiguracji IOS XE. W przypadku Catalyst 1300 należy użyć interfejsu WWW i przepływu pracy CLI specyficznego dla wersji. Najważniejsze kontrole operacyjne to ścieżka serwera DHCP, zaufanie do łącza uplink, powiązania statycznych adresów IP, spójność sieci VLAN i liczniki bezpieczeństwa.
Aby przeprowadzić przegląd dotyczący konkretnej konfiguracji, prześlij swój model Catalyst i wymagania dotyczące sieci VLAN przed wdrożeniem polityki bezpieczeństwa w środowisku produkcyjnym.