cisco交换机IP/ＭＡＣ***防范

  3 IP/MAC欺骗的防范 
3.1常见的欺骗***的种类和目的
　　常见的欺骗种类有 MAC欺骗、IP欺骗、IP/MAC欺骗，其目的通常为伪造身份或者获取针对IP/MAC的特权。当目前较多的是***行为：如Ping Of Death、syn flood、ICMP unreacheable Storm，另外病毒和***的***也具备典型性，下面是******的一个例子。
3.2***实例 
　　下图***为伪造源地址***，其目标地址为公网上的 DNS服务器，直接目的是但愿通使DNS服务器对伪造源地址的响应和等待，形成DDOS***，并以此扩大***效果。该***每秒钟上万个报文，中档交换机2分钟就瘫痪，照成的间接后果很是大。 

3.3IP/MAC欺骗的防范 
　　IP Source Guard 技术配置在交换机上仅支持在 2 层端口上的配置，经过下面机制能够防范 IP/MAC 欺骗： 
IP Source Guard 使用 DHCP sooping 绑定表信息。

　　配置在交换机端口上，并对该端口生效。

　　 运做机制相似 DAI，可是 IP Source Guard不单单检查ARP报文，全部通过定义IP Source Guard检查的端口的报文都要检测。 
IP Source Guard检查 接口 所经过的流量的IP地址和MAC地址是否在DHCP sooping绑定表，若是不在绑定表中则阻塞这些流量。注意若是须要检查MAC须要DHCP服务器支持Option 82，同时使路由器支持Option 82信息。 
经过在交换机上配置 IP Source Guard： 
能够过滤掉非法的 IP地址，包含用户故意修改的和病毒、***等形成的。
　　解决 IP地址冲突问题。
　　提供了动态的创建 IP＋MAC＋PORT的对应表和绑定关系，对于不使用DHCP的服务器和一些特殊状况机器能够采用利用全局命令静态手工添加对应关系到绑定表中。
　　配置 IP Source Guard的接口初始阻塞全部非DHCP流量。
　 不能防止“中间人***”。

　　对于 IP欺骗在路由器上也能够使用urpf技术。 
3.4配置示例： 
　　检测接口上的IP+MAC 
　　IOS 全局配置命令：
　　ip dhcp snooping vlan 12,200 
　　ip dhcp snooping information option 
　　ip dhcp snooping 

　　接口配置命令：
　　ip verify source vlan dhcp-snooping port-security 
　　switchport mode access 
　　switchport port-security 
　　switchport port-security limit rate invalid-source-mac N 
　　/* 控制端口上所能学习源 MAC 的速率，仅当 IP+MAC 同时检测时有意义。

　　检测接口上的IP 
　　IOS 全局配置命令
　　ip dhcp snooping vlan 12,200 
　　no ip dhcp snooping information option 
　　ip dhcp snooping 

　　接口配置命令：
　　ip verify source vlan dhcp-snooping 

　　不使用 DHCP 的静态配置
　　IOS 全局配置命令：
　　ip dhcp snooping vlan 12,200 
　　ip dhcp snooping information option 
　　ip dhcp snooping 
　　ip source binding 0009.6b88.d387 vlan 212 10.66.227.5 interface Gi4/5 
4 IP地址管理和病毒防范的新思路 
4.1IP地址管理 
综上所述经过配置思科交换机的上述特征，不只解决了一些典型***和病毒的防范问题，也为传统 IP地址管理提供了新的思路。 
经过上面的几项技术解决了传统的利用DHCP服务器管理客户端IP地址的问题：
故意不使用手工指定静态 IP地址和DHCP分配地址冲突 
配置 DHCP server 
使用静态指定 IP遇到的问题 
不使用分配的 IP地址和服务器或其余地址冲突 
不容易定位 IP地址和具体交换机端口对应表 

　　使用静态地址的重要服务器和计算机，能够进行静态绑定 IP+MAC、IP+MAC+PORT，手工配置DAI和 IP Source Guard绑定表项， 来保护这些设备，同时也防止来自这些设备的***。

　　目前对于网络病毒的不断爆发，愈来愈多的用户开始重视对 PC的管理，用户关注谁能访问网络、访问之后能作什么、作了哪些事情、这就是咱们常说的AAA认证，除了这些用户但愿可以很快定位到用户在哪台交换机、哪一个端口、以哪一个IP和MAC登录，这样有有了”AAA+A”( Authenticate, Authorize,Account , Address )的概念。 

　　经过上面的配置咱们在网络层面已经能够定位用户了，加上 802.1X认证咱们能够在网络层面根据用户的身份为用户受权，从而实现”AAA+A”。 
[img]file:///C:/Documents%20and%20Settings/Administrator/My%20Documents/arp9.files/dsfsa10.jpg[/img]

更进一步要审计用户所使用电脑具有的条件，如系统补丁、所装杀毒软件及补丁、等条件能够考虑采用思科网络准入控制 NAC。 

4.2使用DHCP Snooping 、DAI、IP Source Guard技术能解决的有关病毒问题 
因为大多数对局域网危害较大的网络病毒都具备典型的欺骗和扫描，快速发包，大量 ARP 请求等特征，采用上述技术必定程度上能够自动切断病毒源，及时告警，准肯定位病毒源