DHCP Snooping, Dynamic ARP Inspection และ IP Source Guard สามารถช่วยปกป้องเครือข่ายการเข้าถึงจากเซิร์ฟเวอร์ DHCP ที่ไม่ได้รับอนุญาต การปลอมแปลง ARP และการปลอมแปลงที่อยู่ต้นทาง นอกจากนี้ยังสามารถขัดขวางการรับส่งข้อมูลที่ถูกต้องเมื่อขาดการผูกข้อมูล ลิงก์อัปถูกทำเครื่องหมายว่าไม่น่าเชื่อถืออย่างไม่ถูกต้อง หรืออุปกรณ์ IP แบบคงที่ไม่ได้ถูกบันทึกไว้ คู่มือนี้จะอธิบายลำดับการกำหนดค่าและแนวทางการแก้ไขปัญหาสำหรับ ซิสโก้ Catalyst 9200, 9300และ สวิตช์ 1300.
DHCP Snooping, DAI และ IP Source Guard ทำงานอย่างไร
DHCP การสอดแนม
DHCP Snooping จะกรองข้อความ DHCP บนอินเทอร์เฟซที่ไม่น่าเชื่อถือและบันทึกการจับคู่ IP กับ MAC ที่ถูกต้อง ช่วยป้องกันเซิร์ฟเวอร์ DHCP ที่ไม่ได้รับอนุญาต ข้อเสนอ DHCP ปลอม และข้อมูลเกตเวย์ที่ไม่ถูกต้องไม่ให้เข้าถึงไคลเอ็นต์
การตรวจสอบ ARP แบบไดนามิก
การตรวจสอบ ARP แบบไดนามิกจะตรวจสอบความถูกต้องของคำขอและคำตอบ ARP โดยเทียบกับข้อมูลที่เชื่อถือได้ ในสภาพแวดล้อม DHCP ข้อมูลที่เชื่อถือได้มักจะมาจากฐานข้อมูลการผูกข้อมูล DHCP Snooping
DAI สามารถช่วยลดความเสี่ยงจากการปลอมแปลง ARP และการโจมตีแบบ Man-in-the-Middle ภายใน VLAN ระดับ Layer 2 ได้ โดยปกติจะเปิดใช้งานต่อ VLAN และควรใช้งานหลังจากตรวจสอบการผูก DHCP ที่จำเป็นเรียบร้อยแล้วเท่านั้น
การป้องกันแหล่งที่มาของ IP
IP Source Guard จำกัดการรับส่งข้อมูลตามที่อยู่ IP ต้นทาง และหากมีการกำหนดค่าไว้ ก็จะจำกัดตามที่อยู่ MAC ต้นทางที่เชื่อมโยงกับอินเทอร์เฟซด้วย โดยปกติจะใช้กับพอร์ต Layer 2 ที่เชื่อมต่อกับไคลเอ็นต์
หากโฮสต์ไม่มีการผูก IP กับ DHCP Snooping ที่ถูกต้อง หรือการผูก IP แบบคงที่ที่ได้รับการอนุมัติ IP Source Guard อาจปฏิเสธการรับส่งข้อมูล IP ของโฮสต์นั้น
โปรดส่งรุ่นสวิตช์, VLANs, อัปลิงก์ และปัญหาการเชื่อมต่อปัจจุบันของคุณมาด้วย
ทั้งสามฟีเจอร์ทำงานร่วมกันอย่างไร
ควรพิจารณาคุณสมบัติเหล่านี้ในฐานะห่วงโซ่ความสัมพันธ์มากกว่าที่จะมองว่าเป็นสวิตช์ความปลอดภัยสามตัวที่ไม่เกี่ยวข้องกัน:
| คุณสมบัติ (Feature) | ฟังก์ชันหลัก | การพึ่งพาที่สำคัญ |
|---|---|---|
| DHCP การสอดแนม | สร้างฐานข้อมูลการเชื่อมโยง IP กับ MAC | จำเป็นต้องมีการวางแผน VLAN และพอร์ตที่เชื่อถือได้อย่างถูกต้อง |
| การตรวจสอบ ARP แบบไดนามิก | ตรวจสอบความถูกต้องของแพ็กเก็ต ARP | ใช้การตั้งค่า DHCP Snooping หรือการควบคุม ARP ที่ได้รับการอนุมัติ |
| การป้องกันแหล่งที่มาของ IP | จำกัดการรับส่งข้อมูล IP จากแหล่งที่มาที่ไม่ได้รับอนุญาต | ใช้การตรวจสอบ DHCP หรือการผูกแหล่งที่มาแบบคงที่ |
ลำดับการเปิดใช้งานที่ปลอดภัยกว่าคือ การเปิดใช้งาน DHCP Snooping ก่อน ตรวจสอบตารางการผูก IP จากนั้นจึงเปิดใช้งาน DAI และ IP Source Guard บนอินเทอร์เฟซที่เลือก วิธีนี้จะช่วยให้ระบุได้ง่ายขึ้นว่าปัญหาเกิดจากการกรอง DHCP การตรวจสอบ ARP หรือการบังคับใช้ IP ต้นทาง
- ตรวจสอบการออกแบบ VLAN และ Trunk ให้เรียบร้อย
- เปิดใช้งาน DHCP Snooping สำหรับ VLAN ที่ต้องการ
- เชื่อถือเฉพาะอินเทอร์เฟซที่เชื่อมต่อกับเซิร์ฟเวอร์ DHCP และอินเทอร์เฟซอัปลิงก์ที่ได้รับการอนุมัติเท่านั้น
- ตรวจสอบว่าระบบกำลังเรียนรู้การผูกข้อมูลไคลเอ็นต์อยู่
- เปิดใช้งาน DAI สำหรับ VLAN ที่เลือกไว้
- เปิดใช้งาน IP Source Guard บนอินเทอร์เฟซที่เชื่อมต่อกับไคลเอ็นต์ที่เหมาะสม
- เพิ่มการผูกค่าคงที่สำหรับอุปกรณ์ IP แบบคงที่ที่ได้รับการอนุมัติ
- ตรวจสอบตัวนับและสถานะการเชื่อมต่อของลูกค้า
การกำหนดค่า iOS XE สำหรับ Catalyst 9200 และ 9300
ตัวอย่างต่อไปนี้ใช้ VLAN 10 และอัปลิงก์บน GigabitEthernet1/0/48แทนที่ค่าเหล่านี้ด้วยค่า VLAN และการออกแบบอินเทอร์เฟซจริงบนสวิตช์
เปิดใช้งาน DHCP Snooping
กำหนดค่าอินเทอร์เฟซอัปลิงก์หรืออินเทอร์เฟซที่เชื่อมต่อกับเซิร์ฟเวอร์ DHCP ที่ได้รับอนุมัติให้เป็นอินเทอร์เฟซที่เชื่อถือได้:
โดยปกติแล้ว พอร์ตปลายทางทั่วไปไม่ควรได้รับความไว้วางใจ อย่าไว้วางใจอินเทอร์เฟซเพียงเพราะมันถูกกำหนดค่าให้เป็น Trunk ความไว้วางใจควรสะท้อนถึงทิศทางและบทบาทของอินเทอร์เฟซนั้น
เปิดใช้งานการตรวจสอบ ARP แบบไดนามิก
เส้นทางการเชื่อมต่ออัปลิงก์หรือโครงสร้างพื้นฐาน DHCP ที่ได้รับอนุมัติอาจต้องการความไว้วางใจจาก DAI ด้วยเช่นกัน:
ควรเปิดใช้งาน DAI หลังจากตรวจสอบแล้วว่ามีการผูกค่า DHCP Snooping ที่จำเป็นอยู่ หากไม่มีค่าผูกที่ถูกต้อง แพ็กเก็ต ARP ที่ถูกต้องอาจถูกปฏิเสธได้
เปิดใช้งานการป้องกันแหล่งที่มาของ IP
บนอินเทอร์เฟซเลเยอร์ 2 ที่เชื่อมต่อกับไคลเอ็นต์ สามารถเปิดใช้งาน IP Source Guard ได้โดยใช้คำสั่งต่อไปนี้:
ควรใช้คุณสมบัตินี้อย่างเลือกสรร โดยปกติแล้ว การเชื่อมต่อหลักหรือการเชื่อมต่ออัปโหลดต้องการการออกแบบความเชื่อถือและการผูกมัดที่แตกต่างกัน และไม่ควรจำกัดการใช้เป็นเพียงวิธีแก้ปัญหาชั่วคราว
ความแตกต่างระหว่าง Web UI และ CLI ของ C1300
การขอ ซีรีส์ Cisco Catalyst 1300 ใช้เวิร์กโฟลว์การจัดการที่แตกต่างจากสวิตช์ Catalyst 9200 และ 9300 ที่ใช้ระบบปฏิบัติการ IOS XE
ขึ้นอยู่กับเฟิร์มแวร์ที่ติดตั้ง ส่วนติดต่อผู้ใช้บนเว็บที่เกี่ยวข้องอาจประกอบด้วย:
- ความปลอดภัย > การสอดแนม DHCP
- ความปลอดภัย > การตรวจสอบ ARP แบบไดนามิก
- ความปลอดภัย > ตัวป้องกันแหล่งที่มาของ IP
- IP Source Guard > ฐานข้อมูลการผูกข้อมูล
- การตั้งค่าความปลอดภัยของอินเทอร์เฟซหรือ VLAN
ชื่อเมนูและตัวเลือกที่มีอาจแตกต่างกันไปตามเวอร์ชันเฟิร์มแวร์ โปรดตรวจสอบคู่มือการดูแลระบบ C1300 ฉบับปัจจุบันก่อนทำการเปลี่ยนแปลงใดๆ
ขั้นตอนการทำงานที่แนะนำสำหรับ C1300
- เปิดใช้งาน DHCP Snooping ทั่วโลก
- เลือก VLAN ที่ควรใช้ DHCP Snooping
- ทำเครื่องหมายอินเทอร์เฟซอัปลิงก์ที่เชื่อมต่อกับเซิร์ฟเวอร์ DHCP และได้รับการอนุมัติว่าเป็นอินเทอร์เฟซที่เชื่อถือได้
- เปิดใช้งานการตรวจสอบ ARP สำหรับ VLAN ที่ต้องการ
- เปิดใช้งาน IP Source Guard บนพอร์ตที่เชื่อมต่อกับไคลเอ็นต์หรือ LAG
- เพิ่มการผูกค่าคงที่สำหรับอุปกรณ์ IP แบบคงที่ที่ได้รับการอนุมัติ
- ตรวจสอบฐานข้อมูลการผูกมัดและรายการที่ไม่ได้ใช้งาน
โปรแกรม CLI ของ C1300 อาจมีคำสั่งสำหรับ DHCP Snooping, ARP Inspection และ IP Source Guard แต่ควรตรวจสอบความพร้อมใช้งานและไวยากรณ์ของคำสั่งกับเวอร์ชันที่ติดตั้งไว้ อย่าคัดลอกการกำหนดค่า IOS XE ทั้งหมดไปยังสวิตช์ C1300 โดยตรง
พอร์ตอัปลิงก์ที่เชื่อถือได้และพอร์ตเซิร์ฟเวอร์ DHCP
การกำหนดค่าความเชื่อถือที่ไม่ถูกต้องเป็นหนึ่งในสาเหตุที่พบบ่อยที่สุดที่ทำให้ระบบล่มหลังจากเปิดใช้งาน DHCP Snooping หรือ DAI
อินเทอร์เฟซที่อาจจำเป็นต้องได้รับความไว้วางใจ
- อินเทอร์เฟซที่เชื่อมต่อกับเซิร์ฟเวอร์ DHCP ที่ถูกต้อง
- การเชื่อมต่ออัปลิงก์ไปยังสวิตช์กระจายหรือสวิตช์หลัก
- สายหลักที่ได้รับการอนุมัติซึ่งรองรับการรับส่งข้อมูล DHCP
- พอร์ตแชนเนลหรือ LAG ที่ได้รับอนุญาต
- อุปกรณ์บริการเครือข่ายที่ให้บริการ DHCP อย่างถูกต้องตามกฎหมาย
อินเทอร์เฟซที่โดยปกติแล้วไม่ควรได้รับความไว้วางใจ
- พอร์ตการเข้าถึงของผู้ใช้
- พอร์ตเชื่อมต่อโทรศัพท์ IP
- อินเทอร์เฟซ VLAN ไคลเอ็นต์ไร้สาย
- พอร์ตสำหรับกล้องและอุปกรณ์ IoT
- พอร์ตอุปกรณ์ดาวน์สตรีมที่ไม่ได้รับการจัดการ
บนพอร์ตแชนเนล ให้ตรวจสอบสถานะความเชื่อถือของอินเทอร์เฟซเชิงตรรกะและอินเทอร์เฟซสมาชิก ความไม่ตรงกันระหว่างสมาชิกทางกายภาพและพอร์ตแชนเนลอาจทำให้เกิดพฤติกรรมการกรองที่ไม่คาดคิด
ความน่าเชื่อถือควรพิจารณาจากแหล่งที่มาของการรับส่งข้อมูลและบทบาทด้านความปลอดภัยของอินเทอร์เฟซ ไม่ใช่เพียงแค่ว่าพอร์ตนั้นมีความเร็วสูง หันหน้าไปทางอัปโหลด หรือได้รับการกำหนดค่าเป็นแบบ Trunk เท่านั้น
อุปกรณ์ IP แบบคงที่และการผูกข้อมูลด้วยตนเอง
DHCP Snooping ไม่สามารถสร้างการเชื่อมโยงแบบไดนามิกสำหรับอุปกรณ์ที่ไม่เคยใช้ DHCP ได้ ตัวอย่างทั่วไปได้แก่ เซิร์ฟเวอร์ เครื่องพิมพ์ กล้อง ระบบควบคุมการเข้าออก ไฟร์วอลล์ และอุปกรณ์จัดการเครือข่าย
เมื่อเปิดใช้งาน DAI หรือ IP Source Guard สำหรับ VLAN อุปกรณ์เหล่านี้อาจต้องมีการผูกมัดด้วยตนเองที่ได้รับการอนุมัติ หรือข้อยกเว้นอื่น ๆ ที่ระบุไว้ในเอกสาร
ตัวอย่างการผูกข้อมูลแบบคงที่สำหรับ iOS XE
ตรวจสอบที่อยู่ MAC, VLAN, ที่อยู่ IP และอินเทอร์เฟซก่อนเพิ่มการผูกพอร์ตแบบคงที่ การผูกพอร์ตที่ไม่ถูกต้องอาจบล็อกโฮสต์ที่ต้องการหรืออนุญาตให้มีการรับส่งข้อมูลบนพอร์ตที่ไม่ถูกต้องได้
การจัดการอุปกรณ์คงที่ C1300
บน C1300 ให้ตรวจสอบฐานข้อมูลการผูก IP Source Guard และเพิ่มรายการคงที่ที่ได้รับอนุมัติผ่านอินเทอร์เฟซที่มีอยู่ ตรวจสอบสถานะการผูกหลังจากบันทึกการกำหนดค่าแล้ว
อย่าใช้การผูกค่าคงที่บนลิงก์อัปเป็นวิธีแก้ปัญหาชั่วคราวสำหรับปัญหาที่กว้างกว่า เช่น ปัญหา Trunk, VLAN หรือ Trust-State ก่อนอื่นให้ตรวจสอบว่าโฮสต์ที่ใช้ค่าคงที่นั้นเชื่อมต่ออยู่ที่ใด และควรใช้ VLAN ใดในการส่งข้อมูล
เหตุใดการเข้าชมเว็บไซต์ที่ถูกต้องจึงถูกบล็อก
เมื่อระบบรักษาความปลอดภัยเริ่มบล็อกการรับส่งข้อมูล ให้ตรวจสอบฐานข้อมูลการผูกข้อมูลและสถานะความเชื่อถือก่อนที่จะปิดใช้งานการป้องกันทั้งหมดหรือทำเครื่องหมายอินเทอร์เฟซทุกตัวว่าเป็นอินเทอร์เฟซที่เชื่อถือได้
| อาการ | สาเหตุน่าจะ | ตรวจสอบครั้งแรก |
|---|---|---|
| ลูกค้าไม่สามารถรับที่อยู่ IP ผ่าน DHCP ได้ | เส้นทางเซิร์ฟเวอร์ DHCP หรือลิงก์อัปไม่น่าเชื่อถือ | สถานะความน่าเชื่อถือของการตรวจสอบ DHCP |
| DAI ปฏิเสธแพ็กเก็ต ARP ที่ถูกต้อง | การเชื่อมต่อ DHCP หายไปหรือไม่ถูกต้อง | ตารางการผูกข้อมูล DHCP Snooping |
| อุปกรณ์ที่ใช้ IP แบบคงที่สูญเสียการเข้าถึง | ไม่มีการผูกมัดแบบคงที่ที่ได้รับการอนุมัติ | IP Source Guard หรือ Binding Database |
| VLAN ปลายทางหยุดทำงาน | สายหลักไม่น่าเชื่อถือหรือ VLAN หายไป | รายการ VLAN ของ Trunk และสถานะความเชื่อถือ |
| IP Source Guard บล็อกการรับส่งข้อมูลของไคลเอ็นต์ | ลูกค้าไม่มีข้อผูกมัดที่ถูกต้อง | ตารางสัญญาเช่าและผูกพันของลูกค้า |
| แพ็กเก็ต ARP ถูกดรอปเป็นระยะ | ปัญหาการจำกัดอัตรา DAI หรือปัญหา ARP burst | สถิติ DAI และการตั้งค่าอัตรา |
| การจับกับ C1300 ไม่ทำงาน | ปัญหาเกี่ยวกับ VLAN, ความเชื่อถือ หรือทรัพยากรฮาร์ดแวร์ | สถานะฐานข้อมูลการผูกข้อมูล |
ตรวจสอบ DHCP Snooping
ตรวจสอบให้แน่ใจว่าได้เปิดใช้งาน DHCP Snooping ทั่วโลกแล้ว รวม VLAN ที่ต้องการแล้ว อินเทอร์เฟซที่เชื่อมต่อกับเซิร์ฟเวอร์เป็นอินเทอร์เฟซที่เชื่อถือได้ และไคลเอนต์กำลังเรียนรู้การเชื่อมต่ออยู่
ตรวจสอบการตรวจสอบ ARP แบบไดนามิก
ตรวจสอบว่า DAI เปิดใช้งานอยู่บน VLAN ที่ถูกต้องหรือไม่ อินเทอร์เฟซที่เชื่อถือได้ตรงกับโทโพโลยีหรือไม่ และการรับส่งข้อมูลหลุดเกิดจากการเชื่อมต่อที่ขาดหายไปหรือข้อจำกัดด้านอัตราหรือไม่
ตรวจสอบ IP Source Guard
ตรวจสอบให้แน่ใจว่า IP Source Guard ถูกนำไปใช้กับอินเทอร์เฟซที่ลูกค้าใช้งานเท่านั้น ไคลเอนต์แบบไดนามิกมีการผูกข้อมูลที่ถูกต้อง และอุปกรณ์แบบคงที่มีการป้อนข้อมูลด้วยตนเองที่ได้รับการอนุมัติแล้ว
จุดเน้นการแก้ไขปัญหา C1300
บน C1300 ให้ตรวจสอบหน้า DHCP Snooping, ARP Inspection และ IP Source Guard แยกกัน ควรตรวจสอบฐานข้อมูลการเชื่อมต่อ (Binding Database) เพื่อดู VLAN ID, ที่อยู่ MAC, ที่อยู่ IP, อินเทอร์เฟซ, สถานะ และเหตุผลของการไม่ใช้งาน
คำถามที่พบบ่อย (FAQs)
รอบชิงชนะเลิศ Takeaway
DHCP Snooping, Dynamic ARP Inspection และ IP Source Guard จะมีประสิทธิภาพสูงสุดเมื่อใช้งานตามลำดับที่ควบคุมได้ ควรสร้างและตรวจสอบฐานข้อมูลการผูก DHCP ก่อน จากนั้นจึงค่อยบังคับใช้ ARP และการตรวจสอบ IP ต้นทางบนอินเทอร์เฟซที่ต้องการใช้งาน
สำหรับ Catalyst 9200 และ 9300 ให้ทำตามขั้นตอนการกำหนดค่า IOS XE สำหรับ Catalyst 1300 ให้ใช้ Web UI และขั้นตอนการทำงาน CLI เฉพาะรุ่น การตรวจสอบการทำงานที่สำคัญที่สุด ได้แก่ เส้นทางเซิร์ฟเวอร์ DHCP, ความน่าเชื่อถือของลิงก์อัป, การผูก IP แบบคงที่, ความสอดคล้องของ VLAN และตัวนับความปลอดภัย
สำหรับการตรวจสอบตามการกำหนดค่าเฉพาะ โปรดระบุรุ่น Catalyst และข้อกำหนด VLAN ของคุณ ก่อนที่จะนำนโยบายความปลอดภัยไปใช้ในสภาพแวดล้อมการใช้งานจริง