সিসকো ট্রেনিং 200-125 CCNA v3.0. দিন 41 DHCP স্নুপিং এবং ননডিফল্ট নেটিভ VLAN

আজ আমরা দুটি গুরুত্বপূর্ণ বিষয় কভার করব: DHCP স্নুপিং এবং "নন-ডিফল্ট" নেটিভ ভিএলএএন। পাঠে এগিয়ে যাওয়ার আগে, আমি আপনাকে আমাদের অন্য YouTube চ্যানেল দেখার জন্য আমন্ত্রণ জানাচ্ছি, যেখানে আপনি কীভাবে আপনার স্মৃতিশক্তি উন্নত করবেন সে সম্পর্কে একটি ভিডিও দেখতে পারেন। আমি আপনাকে এই চ্যানেলটি সাবস্ক্রাইব করার পরামর্শ দিচ্ছি, কারণ সেখানে আমরা স্ব-উন্নতির জন্য অনেক দরকারী টিপস পোস্ট করি।

এই পাঠটি ICND1.7 বিষয়ের উপধারা 1.7b এবং 2c অধ্যয়নের জন্য উত্সর্গীকৃত। DHCP স্নুপিং নিয়ে এগিয়ে যাওয়ার আগে, আগের পাঠের কিছু পয়েন্ট মনে করা যাক। যদি আমি ভুল না করি, আমরা DHCP সম্পর্কে 6 তম দিন এবং 24 দিন শিখেছি। ডিএইচসিপি সার্ভার দ্বারা আইপি ঠিকানা নির্ধারণ এবং উপযুক্ত বার্তা বিনিময় সংক্রান্ত গুরুত্বপূর্ণ বিষয় নিয়ে আলোচনা করা হয়েছিল।

সাধারণত, যখন একটি শেষ ব্যবহারকারী নেটওয়ার্কে প্রবেশ করে, তখন এটি নেটওয়ার্কে একটি সম্প্রচার অনুরোধ পাঠায় যা সমস্ত নেটওয়ার্ক ডিভাইস "শুনে"। যদি এটি সরাসরি একটি DHCP সার্ভারের সাথে সংযুক্ত থাকে, তাহলে অনুরোধটি সরাসরি সার্ভারে যায়। যদি নেটওয়ার্কে ট্রান্সমিশন ডিভাইস থাকে - রাউটার এবং সুইচ - তাহলে সার্ভারের অনুরোধ তাদের মাধ্যমে যায়। অনুরোধটি পাওয়ার পরে, DHCP সার্ভার ব্যবহারকারীকে সাড়া দেয়, তিনি তাকে একটি আইপি ঠিকানার জন্য একটি অনুরোধ পাঠান, যার পরে সার্ভার ব্যবহারকারীর ডিভাইসে এই জাতীয় ঠিকানা জারি করে। স্বাভাবিক অবস্থায় আইপি অ্যাড্রেস পাওয়ার প্রক্রিয়া এভাবেই ঘটে। ডায়াগ্রামের উদাহরণ অনুযায়ী, শেষ ব্যবহারকারী 192.168.10.10 ঠিকানা এবং গেটওয়ে ঠিকানা 192.168.10.1 পাবেন। এর পরে, ব্যবহারকারী এই গেটওয়ের মাধ্যমে ইন্টারনেট অ্যাক্সেস করতে বা অন্যান্য নেটওয়ার্ক ডিভাইসের সাথে যোগাযোগ করতে সক্ষম হবেন।

ধরুন যে একটি বাস্তব DHCP সার্ভার ছাড়াও, নেটওয়ার্কে একটি দুর্বৃত্ত DHCP সার্ভার রয়েছে, অর্থাৎ, একজন আক্রমণকারী কেবল তার কম্পিউটারে একটি DHCP সার্ভার ইনস্টল করে। এই ক্ষেত্রে, ব্যবহারকারী, নেটওয়ার্কে প্রবেশ করে, একইভাবে একটি সম্প্রচার বার্তা পাঠায়, যা রাউটার এবং সুইচটি আসল সার্ভারে ফরোয়ার্ড করবে।

যাইহোক, দুর্বৃত্ত সার্ভার নেটওয়ার্কে "শুনে" এবং, একটি সম্প্রচার বার্তা পাওয়ার পরে, প্রকৃত DHCP সার্ভারের পরিবর্তে ব্যবহারকারীকে তার অফার দিয়ে প্রতিক্রিয়া জানাবে৷ এটি পাওয়ার পরে, ব্যবহারকারী তার সম্মতি দেবেন, যার ফলস্বরূপ তিনি আক্রমণকারীর কাছ থেকে একটি আইপি ঠিকানা পাবেন 192.168.10.2 এবং একটি গেটওয়ে ঠিকানা 192.168.10.95।

একটি আইপি ঠিকানা প্রাপ্তির প্রক্রিয়াটিকে DORA হিসাবে সংক্ষেপে বলা হয় এবং এতে 4টি ধাপ রয়েছে: আবিষ্কার, অফার, অনুরোধ এবং স্বীকৃতি। আপনি দেখতে পাচ্ছেন, আক্রমণকারী ডিভাইসটিকে একটি আইনি IP ঠিকানা দেবে যা নেটওয়ার্ক ঠিকানাগুলির উপলব্ধ পরিসরের মধ্যে রয়েছে, কিন্তু প্রকৃত গেটওয়ে ঠিকানা 192.168.10.1 এর পরিবর্তে, তারা এটিকে একটি জাল ঠিকানা 192.168.10.95 "স্লিপ" করবে, যেটি হল, তাদের নিজস্ব কম্পিউটারের ঠিকানা।

এর পরে, ইন্টারনেটে নির্দেশিত সমস্ত শেষ ব্যবহারকারীর ট্র্যাফিক আক্রমণকারীর কম্পিউটারের মধ্য দিয়ে যাবে। আক্রমণকারী এটিকে আরও পুনঃনির্দেশ করবে, এবং ব্যবহারকারী যোগাযোগের এই পদ্ধতির সাথে কোনও পার্থক্য অনুভব করবেন না, যেহেতু তিনি এখনও ইন্টারনেট অ্যাক্সেস করতে সক্ষম হবেন।

একইভাবে, ইন্টারনেট থেকে বিপরীত ট্রাফিক আক্রমণকারীর কম্পিউটারের মাধ্যমে ব্যবহারকারীর কাছে আসবে। এটাকেই সাধারণত ম্যান ইন দ্য মিডল (MiM) আক্রমণ বলা হয়। সমস্ত ব্যবহারকারীর ট্র্যাফিক হ্যাকারের কম্পিউটারের মধ্য দিয়ে যাবে, যা এটি প্রেরণ বা গ্রহণ করে সবকিছু পড়তে সক্ষম হবে৷ এটি এক ধরনের আক্রমণ যা DHCP নেটওয়ার্কে ঘটতে পারে।

দ্বিতীয় ধরনের আক্রমণকে বলা হয় ডিনায়াল অফ সার্ভিস (DoS)। কি হচ্ছে? হ্যাকারের কম্পিউটার আর DHCP সার্ভার হিসাবে কাজ করে না, এটি এখন শুধুমাত্র একটি আক্রমণকারী ডিভাইস। এটি প্রকৃত DHCP সার্ভারে একটি আবিষ্কারের অনুরোধ পাঠায় এবং প্রতিক্রিয়া হিসাবে একটি অফার বার্তা পায়, তারপর সার্ভারে একটি অনুরোধ পাঠায় এবং এটি থেকে একটি আইপি ঠিকানা গ্রহণ করে। আক্রমণকারীর কম্পিউটার প্রতি কয়েক মিলিসেকেন্ডে এটি করে, প্রতিবার একটি নতুন আইপি ঠিকানা পায়।

সেটিংসের উপর নির্ভর করে, একটি বাস্তব DHCP সার্ভারে শত শত বা কয়েকশ খালি আইপি ঠিকানার পুল থাকে। হ্যাকারের কম্পিউটার আইপি অ্যাড্রেস .1, .2, .3 ইত্যাদি পাবে যতক্ষণ না অ্যাড্রেস পুল সম্পূর্ণভাবে শেষ হয়ে যায়। এর পরে, DHCP সার্ভার নেটওয়ার্কে নতুন ক্লায়েন্টদের IP ঠিকানা প্রদান করতে সক্ষম হবে না। যদি কোনও নতুন ব্যবহারকারী নেটওয়ার্কে প্রবেশ করে, তবে তিনি একটি বিনামূল্যের আইপি ঠিকানা পেতে সক্ষম হবেন না। এটি একটি DHCP সার্ভারে একটি DoS আক্রমণের বিন্দু: এটিকে নতুন ব্যবহারকারীদের আইপি ঠিকানা দেওয়ার ক্ষমতা থেকে বঞ্চিত করতে।

এই ধরনের আক্রমণ প্রতিহত করার জন্য, DHCP Snooping ধারণা ব্যবহার করা হয়। এটি একটি OSI স্তর XNUMX বৈশিষ্ট্য যা একটি ACL এর মতো কাজ করে এবং শুধুমাত্র সুইচগুলিতে কাজ করে৷ DHCP স্নুপিং বোঝার জন্য, আপনাকে দুটি ধারণা বিবেচনা করতে হবে: বিশ্বস্ত সুইচ পোর্ট বিশ্বস্ত এবং অবিশ্বস্ত পোর্ট অন্যান্য নেটওয়ার্ক ডিভাইসের জন্য অবিশ্বস্ত।

বিশ্বস্ত পোর্ট যেকোন ধরনের DHCP বার্তা পাঠাতে দেয়। অবিশ্বস্ত পোর্ট হল এমন পোর্ট যেখানে ক্লায়েন্টরা সংযুক্ত থাকে এবং DHCP স্নুপিং এটি তৈরি করে যাতে এই পোর্টগুলি থেকে আসা যেকোনো DHCP বার্তা বাদ দেওয়া হয়।

যদি আমরা DORA প্রক্রিয়াটি স্মরণ করি, তাহলে D বার্তাটি ক্লায়েন্ট থেকে সার্ভারে আসে এবং O বার্তাটি সার্ভার থেকে ক্লায়েন্টে আসে। এর পরে, ক্লায়েন্ট থেকে সার্ভারে বার্তা R পাঠানো হয়, এবং সার্ভার ক্লায়েন্টকে বার্তা A পাঠায়।

অনিরাপদ পোর্ট থেকে বার্তা D এবং R গ্রহণ করা হয়, এবং O এবং A এর মত বার্তা বাতিল করা হয়। যখন DHCP স্নুপিং সক্ষম করা হয়, তখন সমস্ত সুইচ পোর্ট ডিফল্টরূপে অনিরাপদ বলে বিবেচিত হয়। এই ফাংশনটি সম্পূর্ণরূপে সুইচ এবং পৃথক VLAN-এর জন্য উভয়ই ব্যবহার করা যেতে পারে। উদাহরণস্বরূপ, যদি VLAN10 একটি পোর্টের সাথে সংযুক্ত থাকে, আপনি শুধুমাত্র VLAN10 এর জন্য এই বৈশিষ্ট্যটি সক্ষম করতে পারেন এবং তারপরে এর পোর্টটি অবিশ্বস্ত হয়ে যাবে৷

আপনাকে, সিস্টেম প্রশাসক হিসাবে, DHCP স্নুপিং সক্ষম করার সময়, সুইচ সেটিংসে যেতে হবে এবং পোর্টগুলিকে এমনভাবে কনফিগার করতে হবে যাতে শুধুমাত্র পোর্টগুলি যেগুলির সাথে সার্ভারের মতো ডিভাইসগুলি সংযুক্ত থাকে সেগুলি অবিশ্বস্ত বলে বিবেচিত হয়৷ এটি যেকোন ধরনের সার্ভারকে বোঝায়, শুধু DHCP নয়।
উদাহরণস্বরূপ, যদি অন্য একটি সুইচ, রাউটার বা প্রকৃত DHCP সার্ভার পোর্টের সাথে সংযুক্ত থাকে, তাহলে এই পোর্টটি বিশ্বস্ত হিসাবে কনফিগার করা হয়। বাকি সুইচ পোর্ট যেখানে ব্যবহারকারীর ডিভাইস বা ওয়্যারলেস অ্যাক্সেস পয়েন্টগুলি সংযুক্ত থাকে সেগুলি অবশ্যই অনিরাপদ হিসাবে কনফিগার করা উচিত। অতএব, ব্যবহারকারীরা সংযোগ করে এমন যেকোনো অ্যাক্সেস পয়েন্ট টাইপ ডিভাইস একটি অবিশ্বস্ত পোর্টের মাধ্যমে সুইচের সাথে সংযোগ স্থাপন করে।

যদি আক্রমণকারীর কম্পিউটার সুইচে O এবং A এর মতো বার্তা পাঠায়, তবে সেগুলি ব্লক করা হবে, অর্থাৎ, এই ধরনের ট্র্যাফিক অবিশ্বস্ত পোর্টের মধ্য দিয়ে যেতে পারবে না। এইভাবে DHCP স্নুপিং উপরে আলোচনা করা আক্রমণের ধরন প্রতিরোধ করে।

উপরন্তু, DHCP স্নুপিং DHCP বাইন্ডিং টেবিল তৈরি করে। ক্লায়েন্ট সার্ভার থেকে একটি IP ঠিকানা পাওয়ার পরে, এই ঠিকানাটি, যে ডিভাইসটি পেয়েছে তার MAC ঠিকানা সহ, DHCP স্নুপিং টেবিলে প্রবেশ করা হবে৷ এই দুটি বৈশিষ্ট্য অনিরাপদ পোর্টকে আবদ্ধ করবে যার সাথে ক্লায়েন্ট সংযুক্ত।

এটি সাহায্য করে, উদাহরণস্বরূপ, একটি DoS আক্রমণ প্রতিরোধ করতে। যদি একটি প্রদত্ত MAC ঠিকানা সহ একটি ক্লায়েন্ট ইতিমধ্যে একটি IP ঠিকানা পেয়ে থাকে, তাহলে কেন এটি একটি নতুন আইপি ঠিকানার প্রয়োজন হবে? এই ক্ষেত্রে, টেবিলে রেকর্ড চেক করার সাথে সাথে এই ধরনের কার্যকলাপের কোনো প্রচেষ্টা প্রতিরোধ করা হবে।
পরবর্তী যে বিষয়ে আমাদের আলোচনা করতে হবে তা হল ননডিফল্ট, বা "নন-ডিফল্ট" নেটিভ ভিএলএএন। আমরা বারবার VLAN-এর বিষয়ে স্পর্শ করেছি, এই নেটওয়ার্কগুলিতে 4টি ভিডিও পাঠ উৎসর্গ করেছি। আপনি যদি এটি ভুলে গিয়ে থাকেন তবে আমি আপনাকে এই পাঠগুলি পর্যালোচনা করার পরামর্শ দিচ্ছি।

আমরা জানি যে সিসকো সুইচগুলিতে, ডিফল্ট নেটিভ VLAN হল VLAN1। VLAN Hopping নামে আক্রমণ আছে। ধরুন যে ডায়াগ্রামের কম্পিউটারটি ডিফল্ট নেটিভ VLAN1 দ্বারা প্রথম সুইচের সাথে সংযুক্ত রয়েছে এবং শেষ সুইচটি VLAN10 দ্বারা কম্পিউটারের সাথে সংযুক্ত রয়েছে। সুইচগুলির মধ্যে একটি ট্রাঙ্ক সংগঠিত হয়।

সাধারণত, যখন প্রথম কম্পিউটার থেকে ট্র্যাফিক সুইচে আসে, তখন এটি জানে যে এই কম্পিউটারটি যে পোর্টের সাথে সংযুক্ত তা VLAN1 এর অংশ। তারপরে এই ট্র্যাফিকটি দুটি সুইচের মধ্যে ট্রাঙ্কে প্রবেশ করে, যখন প্রথম সুইচটি এইরকম মনে করে: "এই ট্র্যাফিকটি নেটিভ ভিএলএএন থেকে এসেছে, তাই আমার এটি ট্যাগ করার দরকার নেই," এবং ট্রাঙ্কের মাধ্যমে আনট্যাগ করা ট্র্যাফিককে এগিয়ে দেয় দ্বিতীয় সুইচ।

স্যুইচ 2, ট্যাগবিহীন ট্র্যাফিক পেয়ে, এইরকম মনে করে: "যেহেতু এই ট্র্যাফিকটি আনট্যাগ করা হয়েছে, এর মানে হল এটি VLAN1 এর অন্তর্গত, তাই আমি এটি VLAN10 এর উপর পাঠাতে পারি না।" ফলস্বরূপ, প্রথম কম্পিউটার দ্বারা প্রেরিত ট্রাফিক দ্বিতীয় কম্পিউটারে পৌঁছাতে পারে না।

আসলে, এটি এইভাবে হওয়া উচিত - VLAN1 ট্র্যাফিক VLAN10 নেটওয়ার্কে প্রবেশ করা উচিত নয়। এখন কল্পনা করা যাক যে প্রথম কম্পিউটারের পিছনে একজন আক্রমণকারী আছে, যে VLAN10 ট্যাগ দিয়ে একটি ফ্রেম তৈরি করে এবং সুইচে পাঠায়। যদি আপনার মনে থাকে যে VLAN কিভাবে কাজ করে, তাহলে আপনি জানেন যে ট্যাগ করা ট্রাফিক যদি সুইচের কাছে পৌঁছায়, তবে এটি ফ্রেমের সাথে কিছুই করে না, তবে কেবল এটিকে ট্রাঙ্ক বরাবর আরও অতিক্রম করে। ফলস্বরূপ, দ্বিতীয় সুইচটি একটি ট্যাগ সহ ট্রাফিক পাবে যা আক্রমণকারী দ্বারা তৈরি করা হয়েছিল, প্রথম সুইচ দ্বারা নয়।

এর মানে হল যে আপনি VLAN1 ছাড়া অন্য কিছু দিয়ে নেটিভ VLAN প্রতিস্থাপন করছেন।

যেহেতু দ্বিতীয় সুইচটি জানে না কে VLAN10 ট্যাগ তৈরি করেছে, তাই এটি কেবল দ্বিতীয় কম্পিউটারে ট্র্যাফিক পাঠায়। এভাবেই একটি VLAN হপিং আক্রমণ ঘটে, যখন একজন আক্রমণকারী এমন একটি নেটওয়ার্কে প্রবেশ করে যা তার কাছে প্রাথমিকভাবে অ্যাক্সেসযোগ্য ছিল না।

এই ধরনের আক্রমণ প্রতিরোধ করার জন্য, আপনাকে র্যান্ডম VLAN, বা র্যান্ডম VLAN, যেমন VLAN999, VLAN666, VLAN777, ইত্যাদি তৈরি করতে হবে, যেগুলি কোনও আক্রমণকারী দ্বারা ব্যবহার করা যাবে না। একই সময়ে, আমরা সুইচগুলির ট্রাঙ্ক পোর্টগুলিতে যাই এবং তাদের কাজ করার জন্য কনফিগার করি, উদাহরণস্বরূপ, নেটিভ VLAN666 এর সাথে। এই ক্ষেত্রে, আমরা VLAN1 থেকে VLAN66-এ ট্রাঙ্ক পোর্টের জন্য নেটিভ VLAN পরিবর্তন করি, অর্থাৎ, আমরা VLAN1 ব্যতীত অন্য যেকোনো নেটওয়ার্ককে Native VLAN হিসেবে ব্যবহার করি।

ট্রাঙ্কের উভয় পাশের পোর্টগুলিকে অবশ্যই একই VLAN-এ কনফিগার করতে হবে, অন্যথায় আমরা একটি VLAN নম্বরের অমিল ত্রুটি পেতে পারব।

এই ধরনের সেটিং এর পরে, যদি একজন হ্যাকার VLAN Hopping আক্রমণ করার সিদ্ধান্ত নেয়, তাহলে সে সফল হবে না, কারণ নেটিভ VLAN1 সুইচের ট্রাঙ্ক পোর্টগুলির কোনোটিতেই বরাদ্দ করা হয়নি। এটি নন-ডিফল্ট নেটিভ VLAN তৈরি করে আক্রমণ থেকে রক্ষা করার পদ্ধতি।

আমাদের সাথে থাকার জন্য আপনাকে ধন্যবাদ. আপনি আমাদের নিবন্ধ পছন্দ করেন? আরো আকর্ষণীয় বিষয়বস্তু দেখতে চান? অর্ডার দিয়ে বা বন্ধুদের সুপারিশ করে আমাদের সমর্থন করুন, এন্ট্রি-লেভেল সার্ভারের একটি অনন্য অ্যানালগ-এ Habr ব্যবহারকারীদের জন্য 30% ছাড়, যা আপনার জন্য আমাদের দ্বারা উদ্ভাবিত হয়েছে: VPS (KVM) E5-2650 v4 (6 কোর) 10GB DDR4 240GB SSD 1Gbps থেকে $20 বা কিভাবে একটি সার্ভার শেয়ার করবেন সম্পর্কে সম্পূর্ণ সত্য? (RAID1 এবং RAID10 এর সাথে উপলব্ধ, 24 কোর পর্যন্ত এবং 40GB DDR4 পর্যন্ত)।

Dell R730xd 2 গুণ সস্তা? শুধু এখানে 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 টিভি $199 থেকে নেদারল্যান্ডে! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $99 থেকে! সম্পর্কে পড়ুন কিভাবে ইনফ্রাস্ট্রাকচার কর্পোরেশন তৈরি করা যায়। এক পয়সার জন্য 730 ইউরো মূল্যের Dell R5xd E2650-4 v9000 সার্ভার ব্যবহার করে ক্লাস?

উত্স: www.habr.com