關(guān)于cisco dai防arp攻擊

　　cisco思科是全球領(lǐng)先的大品牌，相信很多人也不陌生，下面是小編收集的資料，希望大家喜歡!

　　cisco思科是全球領(lǐng)先的大品牌，相信很多人也不陌生，那么你知道cisco dai防arp攻擊的方法嗎?下面是學(xué)習(xí)啦小編整理的一些關(guān)于cisco dai防arp攻擊的相關(guān)資料，供你參考。

　　cisco dai防arp攻擊的方法：

　　配置局域網(wǎng)的安全特性，防止地址亂配，ARP攻擊等弊病!

　　1、啟用DHCP SNOOPING

　　全局命令：

　　ip dhcp snooping vlan 10,20,30

　　no ip dhcp snooping information option

　　ip dhcp snooping database flash:dhcpsnooping.text //將snooping表保存到單獨(dú)文檔中，防止掉電后消失。

　　ip dhcp snooping

　　接口命令:

　　ip dhcp snooping trust //將連接DHCP服務(wù)器的端口設(shè)置為T(mén)rust，其余unTrust(默認(rèn))

　　2、啟用DAI，防止ARP欺騙和中間人攻擊!通過(guò)手工配置或者DHCP監(jiān)聽(tīng)snooping，交換機(jī)將能夠確定正確的端口。如果ARP應(yīng)答和snooping不匹配，那么它將被丟棄，并且記錄違規(guī)行為。違規(guī)端口將進(jìn)入err-disabled狀態(tài)，攻擊者也就不能繼續(xù)對(duì)網(wǎng)絡(luò)進(jìn)行進(jìn)一步的破壞了!

　　全局命令

　　ip arp inspection vlan 30

　　接口命令(交換機(jī)之間鏈路配置DAI信任端口，用戶(hù)端口則在默認(rèn)的非信任端口)：

　　ip arp inspection trust

　　ip arp inspection limit rate 100

　　3、啟用IPSG

　　前提是啟用IP DHCP SNOOPING，能夠獲得有效的源端口信息。IPSG是一種類(lèi)似于uRPF(單播反向路徑檢測(cè))的二層接口特性，uRPF可以檢測(cè)第三層或路由接口。

　　接口命令：

　　switchport mode acc

　　switchport port-security

　　ip verify source vlan dhcp-snooping port-security

　　4、關(guān)于幾個(gè)靜態(tài)IP的解決辦法

　　可通過(guò)ip dhcp snooping binding 1.1.1 vlan 1 1.1.1.1 interface gi0/8

　　通過(guò)arp access-list添加靜態(tài)主機(jī):

　　arp access-list static-arp

　　permit ip host 192.168.1.1 mac host 0000.0000.0003

　　ip arp inspection filter static-arp vlan 30

　　DHCP 中綁定固定IP：

　　ip dhcp pool test

　　host 192.168.1.18 255.255.255.0 (分給用戶(hù)的IP)

　　client-identifier 0101.0bf5.395e.55(用戶(hù)端mac)

　　client-name test

　　開(kāi)展及總結(jié)：

　　思科交換機(jī)在全局配置模式下開(kāi)啟IP DHCP SNOOPING后，所有端口默認(rèn)處于DHCP SNOOPING UNTRUSTED模式下，但DHCP SNOOPING INFORMATION OPTION功能默認(rèn)是開(kāi)啟的，此時(shí)DHCP報(bào)文在到達(dá)一個(gè)SNOOPING UNTRUSTED端口時(shí)將被丟棄。因此，必須在4506配置IP DHCP SNOOPING INFORMATION OPTION ALLOW-UNTRUSTED命令(默認(rèn)關(guān)閉)，以允許4506從DHCP SNOOPING UNTRUSTED端口接收帶有OPTION 82的DHCP REQUEST報(bào)文。建議在交換機(jī)上關(guān)閉DHCP INFORMATION OPTION，即全局配置模式下NO IP DHCP SNOOPING INFORMATION OPTION。

　　7、對(duì)于允許手工配置IP地址等參數(shù)的客戶(hù)端，可以手工添加綁定條目到DHCP SNOOPING BINDING數(shù)據(jù)庫(kù)中。ip dhcp snooping binding 00d0.2bd0.d80a vlan 100 222.25.77.100 interface gig1/1 expiry 600表示手工添加一條MAC地址為00d0.2bd0.d80a，IP地址為222.25.77.100，接入端口為GIG1/1，租期時(shí)間為600秒的綁定條目。

　　8、IPSG即IP SOURCE GUARD是在DHCP SNOOPING功能的基礎(chǔ)上，形成IP SOURCE BINDING表，只作用在二層端口上。啟用IPSG的端口，會(huì)檢查接收到所有IP包，只轉(zhuǎn)發(fā)與此綁定表的條目相符合的IP包。默認(rèn)IPSG只以源IP地址為條件過(guò)濾IP包，如果加上以源MAC地址為條件過(guò)濾的話(huà)，必須開(kāi)啟DHCP SNOOPING INFORMAITON OPTION 82功能。

　　9、DAI即DYNAMIC ARP INSPECTION也是以DHCP SNOOPING BINDING DATABASE為基礎(chǔ)的，也區(qū)分為信任和非信任端口，DAI只檢測(cè)非信任端口的ARP包，可以截取、記錄和丟棄與SNOOPING BINDING中IP地址到MAC地址映射關(guān)系條目不符的ARP包。如果不使用DHCP SNOOPING，則需要手工配置ARP ACL。

【cisco dai防arp攻擊】相關(guān)文章：

Win10系統(tǒng)如何開(kāi)啟arp防火墻08-31

怎么防止電腦被黑客攻擊09-28

防止“黑客”攻擊的十種辦法07-19

電腦安全設(shè)置減少黑客掃描與攻擊07-20

攻擊機(jī)器人暴龍神作文10-27

少一點(diǎn)人身攻擊作文10-29

中班防雪防冰凍安全教案12-18

防臺(tái)防強(qiáng)對(duì)流天氣應(yīng)急預(yù)案11-26

中班防雪防冰凍安全教案（精選20篇）11-24

防詐騙的心得11-06