IT猫扑网:您身边最放心的安全下载站! 最新更新|软件分类|软件专题|手机版|论坛转贴|软件发布

您当前所在位置:首页网络安全安全防护 → 保护DHCP,杜绝IP攻击

保护DHCP,杜绝IP攻击

时间:2015/6/28来源:IT猫扑网作者:网管联盟我要评论(0)

  部署DHCP服务器

  服务器为客户端提供网络服务,这大大方便了网络管理。客户端连入网络后会发送DHCP请求包,DHCP服务器会应答并提供IP地址、子网掩码、网关,DNS等信息。但是,而当网络中出现另外一台非法的DHCP服务器将会怎样呢?显而易见,这必然造成网络的混乱,IP攻击也就会触发。"内鬼"难防,如何防呢?

  1、客户端不断请求

  既然广播包会发向网络中的所有设备,合法还是非授权服务器先应答是没有任何规律的,那么我们可以通过多次尝试广播包的发送来临时解决这个问题,直到客户机可以得到真实的地址为止。

  客户端在命令行中先敲入命令"ipconfig /release"释放非授权网络数据,然后输入命令"ipconfig /renew"尝试获得网络参数。如果还是获得错误信息则再次尝试上面两条命令,直到得到正确信息。不过这种方法治标不治本,反复尝试的次数没有保证,一般都需要十几次甚至是几十次,另外当DHCP租约到期后客户端需要再次寻找DHCP服务器获得信息,故障仍然会出现。

  2、通过DC对DHCP授权

  一般我们使用的操作系统都是Windows,微软为我们提供了一个官方解决办法。在windows系统组建的网络中,如果非授权DHCP服务器也是用Windows系统建立的话我们可以通过"域"的方式对非授权DHCP服务器进行过滤。将合法的DHCP服务器添加到活动目录(Active Directory)中,通过这种认证方式就可以有效的制止非授权DHCP服务器了。

  原理就是没有加入域中的DHCP Server在相应请求前,会向网络中的其他DHCP Server发送DHCP INFORM查询包,如果其他DHCP Server有响应,那么这个DHCP Server就不能对客户的要求作相应,也就是说网络中加入域的DHCP服务器的优先级比没有加入域的DHCP服务器要高。这样当合法DHCP存在时非授权的就不起任何作用了。

  授权合法DHCP的过程如下:"开始→程序→管理工具→DHCP",选择DHCP, 用鼠标右键单击选择"添加服务器",然后浏览选择需要认证的服务器。点"添加"按钮, 输入要认证的DHCP服务器IP地址, 完成授权操作。

  这种方法效果虽然不错,但需要域的支持。要知道对于众多中小企业来说"域"对他们是大材小用,基本上使用工作组就足以应对日常的工作了。所以这个方法是微软推荐的,效果也不错,但不太适合实际情况。另外该方法只适用于非授权DHCP服务器是windows系统,对非Windows的操作系统甚至是NT4这样的系统都会有一定的问题。

  3、在路由器/交换机上封杀

  有的路由交换设备自身功能比较强,例如具有extreme功能,他可以自动抑制非授权dhcp的数据包。如果没有extreme功能我们如何提前预防非授权DHCP服务器的接入呢?

  首先需要对DHCP数据包使用的端口有所了解,DHCP服务主要使用的是UDP的67和68端口,服务器端应答数据包使用68端口,67端口为客户机发送请求时使用。所以我们可以在路由器和交换机上通过访问控制列表来屏蔽除合法DHCP服务器以外的所有DHCP应答包,也就是说将68端口封闭。具体命令为:access-list 108 deny udp any eq 68 any(见图1)

图1

  这种方法只对于WINDOWS操作系统的DHCP服务器有效,对于在其他操作系统上建立的DHCP服务器则无法完全过滤。而且大量的ACL也会降低路由交换设备的性能,使网络速度受到一定的影响。

  4、另类方法干扰

  在实际使用中笔者发现了一个另类的方法,该方法和上面介绍的消极防范结合起来使用效果还算不错。这个方法就是只要知道非授权的DHCP的IP,找台电脑设置和他同样的IP,能降低非授权DHCP发放的数量,这样在执行ipconfig /release和ipconfig /renew时获得合法网络信息的概率大大提高。

  5、实施屏蔽

  第一步:知道了非授权DHCP服务器的IP地址后使用ping -a ip来反向查看他的计算机主机名。根据ARP命令查询该计算机对应的MAC地址,也可以到合法DHCP服务器上查看缓存池中该IP对应的MAC地址。 知道了MAC地址后登录交换机执行show mac add显示所有MAC地址与交换机端口的对应关系。(见图2)

图2

  (提示:屏蔽非授权DHCP服务器一定要从MAC地址来入手,因为IP地址可以修改而且自动获得IP的方法很多,获得的参数也会产生变化。)

  第二步:我们就可以从显示的对应关系列表中查看到该MAC对应的端口号了,如果端口比较多还可以使用"sh mac address add 0180.c200.0005"这样的格式来查询0180.c200.0005这个MAC地址对应的端口。(见图3)

图3

  第三步:找到对应的端口后通过int命令进入该接口,然后使用shutdown关闭该接口,从而阻断了该计算机与外界的联系。

  利用这种方式屏蔽非授权DHCP服务器当使用的是集线器连接下方设备时,会在交换机上的一个端口学习到多个MAC地址,如果我们直接将该端口通过shutdown命令关闭的话,则集线器连接的所有设备都无法使用网络了。遇到这种情况我们可以使用基于MAC地址的访问控制列表来控制。具体命令为:

  mac access-list extended test

  deny host 0180.c200.0005 any

  permit any any

  (见图4)

图4

  然后在进入非授权DHCP所在的交换机端口执行如下命令:mac access-group test in设置完毕后就阻止了MAC地址为0180.c200.0005的计算机对外网的访问,而又不影响连接到同一台集线器上的其他设备。

  DHCP是网络中的关键服务器,做好它的"安保"至关重要,希望上面的安防措施对大家有所帮助。

关键词标签:DHCP,IP攻击

相关阅读

文章评论
发表评论

热门文章 网络安全管理软件-PCHunter使用教程网络安全管理软件-PCHunter使用教程虚拟主机中ASPX一些安全设置虚拟主机中ASPX一些安全设置“和谐”内网保护神——ProVisa内网安全管理“和谐”内网保护神——ProVisa内网安全管理Discuz!配置文件中的安全设置Discuz!配置文件中的安全设置

相关下载

人气排行 xp系统关闭445端口方法_ 教你如何关闭xp系统445端口网络安全管理软件-PCHunter使用教程企业网络安全事件应急响应方案什么是IPS(入侵防御系统)linux iptables如何封IP段腾讯QQ密码防盗十大建议隐藏ip地址增加网络信息的安全性Windows Server 2008利用组策略的安全设置