👋
🟣DHCP Snooping защищает сеть от поддельных DHCP-серверов. Представьте, что кто-то подключил к офисному коммутатору свой роутер, который начал раздавать клиентам IP-адреса, шлюз и DNS.
Компьютеры могут получить настройки от чужого устройства, а весь их трафик пойдёт через подставной шлюз.
🟣DHCP Snooping делит порты на trusted и untrusted. Ответы DHCP-сервера разрешены только с доверенных портов. Если обычный клиентский порт начнёт отправлять DHCP Offer, коммутатор отбросит пакет.
🟣Dynamic ARP Inspection решает другую проблему - ARP Spoofing.
Допустим, атакующий отправляет в сеть ARP-ответ:
И убеждает соседние устройства, что MAC-адрес шлюза принадлежит ему.
DAI проверяет ARP-пакеты по таблице привязок IP и MAC, которую обычно создаёт DHCP Snooping. Если адреса не совпадают, пакет блокируется.
🟣Как настроить на Cisco:
Сначала включаем DHCP Snooping:
Здесь
Теперь включаем проверку ARP:
На клиентских портах ARP-пакеты будут проверяться, а порт к доверенному шлюзу при необходимости можно настроить отдельно:
🟣Главная разница: DHCP Snooping не даёт чужому устройству раздавать сетевые настройки, а DAI не позволяет подменять соответствие IP и MAC через ARP. Причём технологии связаны: DAI часто использует таблицу DHCP Snooping, чтобы понимать, какие адреса действительно принадлежат клиентам.
🟣Что проверить при диагностике:
И важный момент: если в сети используются статические IP, для DAI понадобятся дополнительные разрешённые привязки, например ARP ACL. Иначе можно случайно заблокировать вполне легитимные устройства.
🤖Бесплатный ChatGPT
Привет, сетевой друг!Сегодня разберём, в чём разница между DHCP Snooping и Dynamic ARP Inspection (DAI). Обе технологии защищают L2-сеть, но от совершенно разных атак.🟣DHCP Snooping защищает сеть от поддельных DHCP-серверов. Представьте, что кто-то подключил к офисному коммутатору свой роутер, который начал раздавать клиентам IP-адреса, шлюз и DNS.
Компьютеры могут получить настройки от чужого устройства, а весь их трафик пойдёт через подставной шлюз.
🟣DHCP Snooping делит порты на trusted и untrusted. Ответы DHCP-сервера разрешены только с доверенных портов. Если обычный клиентский порт начнёт отправлять DHCP Offer, коммутатор отбросит пакет.
🟣Dynamic ARP Inspection решает другую проблему - ARP Spoofing.
Допустим, атакующий отправляет в сеть ARP-ответ:
192.168.1.1 → AA:BB:CC:DD:EE:FFИ убеждает соседние устройства, что MAC-адрес шлюза принадлежит ему.
DAI проверяет ARP-пакеты по таблице привязок IP и MAC, которую обычно создаёт DHCP Snooping. Если адреса не совпадают, пакет блокируется.
🟣Как настроить на Cisco:
Сначала включаем DHCP Snooping:
ip dhcp snooping
ip dhcp snooping vlan 10
interface GigabitEthernet0/1
ip dhcp snooping trustЗдесь
Gi0/1 - порт в сторону легитимного DHCP-сервера или доверенного сетевого оборудования.Теперь включаем проверку ARP:
ip arp inspection vlan 10На клиентских портах ARP-пакеты будут проверяться, а порт к доверенному шлюзу при необходимости можно настроить отдельно:
interface GigabitEthernet0/2 ip arp inspection trust🟣Главная разница: DHCP Snooping не даёт чужому устройству раздавать сетевые настройки, а DAI не позволяет подменять соответствие IP и MAC через ARP. Причём технологии связаны: DAI часто использует таблицу DHCP Snooping, чтобы понимать, какие адреса действительно принадлежат клиентам.
🟣Что проверить при диагностике:
show ip dhcp snooping
show ip dhcp snooping binding
show ip arp inspection
show ip arp inspection statisticsИ важный момент: если в сети используются статические IP, для DAI понадобятся дополнительные разрешённые привязки, например ARP ACL. Иначе можно случайно заблокировать вполне легитимные устройства.
🤖Бесплатный ChatGPT