交换网络安全防范系列四之IP/MAC欺骗防范

4.1 常见的欺骗攻击的种类和目的

　　 常见的欺骗种类有 MAC欺骗、IP欺骗、IP/MAC欺骗，其目的一般为伪造身份或者获取针对IP/MAC的特权。当目前较多的是攻击行为：如Ping Of Death、syn flood、ICMP unreacheable Storm，另外病毒和木马的攻击也具有典型性，下面是木马攻击的一个例子。

4.2IP/MAC 欺骗的防范

　　 IP Source Guard 技术配置在交换机上仅支持在 2 层端口上的配置，通过下面机制可以防范 IP/MAC 欺骗：

• IP Source Guard 使用 DHCP sooping 绑定表信息。

• 配置在交换机端口上，并对该端口生效。

• 运作机制类似 DAI，但是 IP Source Guard检查所有经过定义IP Source Guard检查的端口的报文。

• IP Source Guard 检查接口所通过的流量的IP地址和MAC地址是否在DHCP sooping绑定表，如果不在绑定表中则阻塞这些流量。

通过在交换机上配置 IP Source Guard：

• 可以过滤掉非法的 IP地址，包含用户故意修改的和病毒、攻击等造成的。

• 解决 IP地址冲突问题。

• 提供了动态的建立 IP＋MAC＋PORT的对应表和绑定关系，对于不使用DHCP的服务器和一些特殊情况机器可以采用利用全局命令静态手工添加对应关系到绑定表中。

• 配置 IP Source Guard的接口初始阻塞所有非DHCP流量。

• 不能防止“中间人攻击”。

4.3 配置示例：

IOS 全局配置命令：

ip dhcp snooping vlan 12,200

ip dhcp snooping information option

ip dhcp snooping

ip source binding 0009.6b88.d387 vlan 212 10.66.227.5 interface Gi4/5/* 不使用 DHCP 的静态配置

接口配置命令：

ip verify source vlan dhcp-snooping