您好,欢迎访问这里是深圳市硕远科技有限公司!
戴尔服务器价格_IBM联想配置_浪潮代理-深圳市硕远科技有限公司
联系我们
戴尔服务器价格_IBM联想配置_浪潮代理-深圳市硕远科技有限公司
邮箱:2324898850@qq.com
电话:400-080-6079
地址:深圳市龙华区河背工业区108创业园A301
当前位置:主页 > 新闻动态 > 行业新闻 >

行业新闻

作为一名合格的网工,你还不知道DHCP Snooping是如

发布时间:2022-04-25 21:00:02浏览次数:

嗨,大家好,小老虎今天为大家带来了DHCP Snooping的工作原理,小本本准备好,我们要开始啦!


DHCP Snooping顾名思义是跟DHCP有关的,他是DHCP的一种安全特性,用于保证DHCP客户端从合法DHCP服务器获取IP地址,并记录HDCP客户端IP地址与MAC地址参数的对应关系,防止网络上针对DHCP攻击。


DHCP Snooping有以下两种功能:


1.信任功能:DHCP Snooping信任功能将接口分为信任接口和非信任接口,这样能够保证客户端从合法的服务器获取IP地址


2.分析功能:开启DHCP Snooping功能后,设备能够通过分析DHCP报文交互的过程,生成DHCP Snooping绑定表,绑定表项包括客户端的MAC地址、获取到的IP地址、与DHCP客户端连接的接口以及该接口所属的VLAN,租约信息。


DHCP Snooping在哪些场景中能够应用呢?


1.防止DHCP Server仿冒者攻击


攻击原理:

由于DHCP Server和DHCP Client之间没有认证机制,所以当网络中随意增加一台DHCP服务器,他就可以冒充真正的服务器给网络中的其他设备分配IP地址和其他网络参数。如果该DHCP服务器分配的IP地址是错误的,那就会对网络造成非常大的影响。


解决方法:



如图所示,为了防止DHCP Server仿冒者攻击,可以将设备上接口配置为“Trusted”和“Untrusted”工作模式。将与合法的DHCP服务器的连接用“Trusted”接口,其他接口设置为“Untrusted”接口,当从“Untrusted”接口收到DHCP回应报文将直接丢弃,这样就可以防止DHCP Server仿冒者的攻击。


2.DHCP报文防洪攻击


攻击原理:

网络中的某台攻击设备,向服务器发送大量的DHCP Discover报文,导致服务器处理不过来,最后服务器瘫痪。


解决方法:

在使能设备的DHCP Snooping功能时,可同时使能设备对DHCP报文上送DHCP报文处理单元的速率进行检测的功能。此后,设备将会检测DHCP报文的上送速率,并仅允许在规定速率内的报文送至DHCP报文处理单元,而超过规定速率的报文将会被丢弃。


3.DHCP Server服务拒绝攻击(饿死)


攻击原理:



如图所示,假设interface 1接口下存在大量攻击者恶意申请的IP地址,那么就会导致DHCP Server中的IP地址快速耗尽而不能为其他合法用户提供IP地址分配服务。


解决方法:

为了抑制大量的DHCP用户恶意申请IP地址,在使能设备的DHCP Snooping功能后,可配置设备接口允许接入的最大DHCP用户数,当接入的用户数达到该值时,则不再允许任何用户通过此设备或接口成功申请到IP地址。



400-080-6079