六月婷婷综合激情-六月婷婷综合-六月婷婷在线观看-六月婷婷在线-亚洲黄色在线网站-亚洲黄色在线观看网站

明輝手游網中心：是一個免費提供流行視頻軟件教程、在線學習分享的學習平臺！

防范VLAN間的ARP攻擊

發表時間：2023-07-16 來源：明輝站整理相關軟件相關文章人氣：

[摘要]針對目前出現的流行ARP欺騙攻擊行為， 提出Cisco的解決方案。 　　但是， 我實驗下來， 這個能夠防止攻擊核心層Gateway， 但是不能很有效的防止各VLAN間的攻擊， 防止VLAN間的攻擊...

針對目前出現的流行ARP欺騙攻擊行為， 提出Cisco的解決方案。

　　但是， 我實驗下來， 這個能夠防止攻擊核心層Gateway， 但是不能很有效的防止各VLAN間的攻擊， 防止VLAN間的攻擊， 我認為用VLAN內的VACL防止比較好， 安全性能才能提高。

　　由于公司交換設備用的是OMNI 但是安全方面應該也有相關設置作簡單演示， 不去深入

　　100    3/12   default     inactive  利用無用端口演示下

6602-SHA-15F> port-security 3/12 enable

6602-SHA-15F> port-security 3/12 maximum 10

6602-SHA-15F> port-security 3/12 violation ?

　　　　　　　　　　　　　^

　　　　　　　　　　　SHUTDOWN RESTRICT

　　CISCO具體方案：

　　在全部是Cisco交換網絡里， 可以通過幫定每臺設備的ip和mac地址可以解決。 但是這樣做比較麻煩， 可以用思科 Dynamic ARP Inspection 機制解決。 （*注釋：用port-security， 必定是access口）

　　防范方法 ：

　　思科 Dynamic ARP Inspection （DAI）在交換機上提供IP地址和MAC地址的綁定， 并動態建立綁定關系。 DAI 以 DHCP Snooping綁定表為基礎， 對于沒有使用DHCP的服務器個別機器可以采用靜態添加ARP access-list實現。 DAI配置針對VLAN， 對于同一VLAN內的接口可以開啟DAI也可以關閉。 通過DAI可以控制某個端口的ARP請求報文數量。 所以， 我認為， 通過這樣的配置， 可以解決ARP攻擊問題， 更好的提高網絡安全性和穩定性。

　　配置：

　　IOS 全局命令：

ip dhcp snooping vlan 100,200 ,300,400

no ip dhcp snooping information option

ip dhcp snooping

ip arp inspection vlan 100,200 ,300,400

ip arp inspection log-buffer entries 1024

ip arp inspection log-buffer logs 1024 interval 10

　　IOS 接口命令：

ip dhcp snooping trust

ip arp inspection trust

ip arp inspection limit rate 15

　　對于沒有使用 DHCP 設備可以采用下面辦法：

arp access-list static-arp

permit ip host 202.65.3.42 mac host 0012.3F82.1B22

ip arp inspection filter static-arp vlan 201

　　配置DAI后的效果：

　　由于 DAI檢查 DHCP snooping綁定表中的IP和MAC對應關系， 無法實施中間人攻擊， 攻擊工具失效。 下表為實施中間人攻擊是交換機的警告：

3w0d: %SW_DAI-4-DHCP_SNOOPING_DENY: 1 Invalid ARPs (Req) on Fa5/16, vlan 1.([000b.db1d.6ccd/192.168.1.200/0000.0000.0000/192.168.1.2

　　由于對 ARP請求報文做了速度限制， 客戶端無法進行認為或者病毒進行的IP掃描、探測等行為， 如果發生這些行為， 交換機馬上報警或直接切斷掃描機器。 如下表所示：

3w0d: %SW_DAI-4-PACKET_RATE_EXCEEDED: 16 packets received in 184 milliseconds on Fa5/30. ******報警

3w0d: %PM-4-ERR_DISABLE: arp-inspection error detected on Fa5/30, putting Fa5/ 30 in err-disable state ******切斷端口

4500-1#sh int f 5/30

FastEthernet5/30 is down, line protocol is down (err-disabled)

Hardware is Fast Ethernet Port , address is 0002.b90e .3f 4d (bia 0002.b90e .3f 4d)

MTU 1500 bytes, BW 100000 Kbit, DLY 100 usec,

reliability 255/255, txload 1/255, rxload 1/255

4500-1#

　　用戶獲取 IP地址后， 用戶不能修改IP或MAC， 如果用戶同時修改IP和MAC必須是網絡內部合法的IP和MAC才可， 對于這種修改可以使用下面講到的 IP Source Guard技術來防范。 下表為手動指定IP的報警：

3w0d: %SW_DAI-4-DHCP_SNOOPING_DENY: 1 Invalid ARPs (Req) on Fa5/30, vlan 1.([000d.6078.2d95/192.168.1.100/0000.0000.0000/192.168.1.100/01:52:28 UTC Fri Dec 29 2000 ])

　　DAI支持的平臺是3560以上吧， IP Source Guard 只有4500以上才能執行貌似。


上面是電腦上網安全的一些基礎常識，學習了安全知識，幾乎可以讓你免費電腦中毒的煩擾。
主站蜘蛛池模板： 天天色综合2 | 亚洲视频你懂的 | 五月天欧美激情午夜情 | 手机看片久久国产免费不卡 | 一本到视频 | 午夜久久久精品 | 午夜影院免费版 | 日本片网址 | 五月婷婷亚洲 | 亚洲精品第四页中文字幕 | 中文字幕日韩精品亚洲七区 | 午夜爱爱爱爱爽爽爽网站免费 | 亚洲午夜在线观看 | 亚州人成网在线播放 | 欧美特黄视频在线观看 | 日产精品久久久一区二区 | 四虎永久免费网站免费观看 | 婷婷综合在线观看丁香 | 日本高清在线观看视频你懂的 | 色网站免费看 | 亚洲欧美综合另类 | 五月开心激情网 | 西西gogo午夜高清大胆 | 日韩美女在线视频网站免费观看 | 天天干视频网站 | 日韩中文字幕在线有码视频网 | 中文字幕婷婷 | 最近在线观看免费完整视频 | 欧美午夜免费观看福利片 | 天天在线综合网 | 欧美一级啪啪 | 中文字幕乱 | 日本欧美在线观看 | 欧美自拍三级 | 鸥美性生交xxxxx久久久 | 日本高清视频在线www色下载 | 在线观看国产一区二三区 | 中文字幕永久在线视频 | 色偷偷成人 | 色综合久久综合中文小说 | 欧美视频在线不卡 |