Пост канала
- фото
👋 Привет, сетевой друг! Сегодня разберём, в чём разница между DHCP Snooping и Dynamic ARP Inspection (DAI). Обе технологии защищают L2-сеть, но от совершенно разных атак. 🟣DHCP Snooping защищает сеть от поддельных DHCP-серверов. Представьте, что кто-то подключил к офисному коммутатору свой роутер, который начал раздавать клиентам IP-адреса, шлюз и DNS. Компьютеры могут получить настройки от чужого устройства, а весь их трафик пойдёт через подставной шлюз. 🟣DHCP Snooping делит порты на trusted и untrusted. Ответы DHCP-сервера разрешены только с доверенных портов. Если обычный клиентский порт начнёт отправлять DHCP Offer, коммутатор отбросит пакет. 🟣Dynamic ARP Inspection решает другую проблему - ARP Spoofing. Допустим, атакующий отправляет в сеть ARP-ответ: 192.168.1.1 → AA:BB:CC:DD:EE:FF И убеждает соседние устройства, что MAC-адрес шлюза принадлежит ему. DAI проверяет ARP-пакеты по таблице привязок IP и MAC, которую обычно создаёт DHCP Snooping. Если адреса не совпадают, пакет блокируется. 🟣Как настроить на Cisco: Сначала включаем DHCP Snooping: ip dhcp snooping ip dhcp snooping vlan 10 interface GigabitEthernet0/1 ip dhcp snooping trust Здесь Gi0/1 - порт в сторону легитимного DHCP-сервера или доверенного сетевого оборудования. Теперь включаем проверку ARP: ip arp inspection vlan 10 На клиентских портах ARP-пакеты будут проверяться, а порт к доверенному шлюзу при необходимости можно настроить отдельно: interface GigabitEthernet0/2 ip arp inspection trust 🟣Главная разница: DHCP Snooping не даёт чужому устройству раздавать сетевые настройки, а DAI не позволяет подменять соответствие IP и MAC через ARP. Причём технологии связаны: DAI часто использует таблицу DHCP Snooping, чтобы понимать, какие адреса действительно принадлежат клиентам. 🟣Что проверить при диагностике: show ip dhcp snooping show ip dhcp snooping binding show ip arp inspection show ip arp inspection statistics И важный момент: если в сети используются статические IP, для DAI понадобятся дополнительные разрешённые привязки, например ARP ACL. Иначе можно случайно заблокировать вполне легитимные устройства. 🤖Бесплатный ChatGPT
Открыть в MAX- Просмотры
- 340
- ER
- 2,6%
- Реакции
- 9