સિસ્કો તાલીમ 200-125 CCNA v3.0. દિવસ 41: DHCP સ્નૂપિંગ અને નોનડિફોલ્ટ નેટિવ VLAN

આજે આપણે બે મહત્વના વિષયો જોઈશું: DHCP સ્નૂપિંગ અને "નોન-ડિફોલ્ટ" નેટિવ VLAN. પાઠ પર આગળ વધતા પહેલા, હું તમને અમારી અન્ય YouTube ચેનલની મુલાકાત લેવા માટે આમંત્રિત કરું છું જ્યાં તમે તમારી યાદશક્તિને કેવી રીતે સુધારવી તેના પર વિડિઓ જોઈ શકો છો. હું ભલામણ કરું છું કે તમે આ ચેનલને સબ્સ્ક્રાઇબ કરો, કારણ કે અમે ત્યાં સ્વ-સુધારણા માટે ઘણી ઉપયોગી ટીપ્સ પોસ્ટ કરીએ છીએ.

આ પાઠ ICND1.7 વિષયના પેટાવિભાગો 1.7b અને 2c ના અભ્યાસ માટે સમર્પિત છે. આપણે DHCP સ્નૂપિંગ સાથે પ્રારંભ કરીએ તે પહેલાં, ચાલો અગાઉના પાઠમાંથી કેટલાક મુદ્દાઓ યાદ રાખીએ. જો મારી ભૂલ ન હોય, તો અમે દિવસ 6 અને દિવસ 24 માં DHCP વિશે શીખ્યા. ત્યાં, DHCP સર્વર દ્વારા IP એડ્રેસની સોંપણી અને અનુરૂપ સંદેશાઓની આપ-લે સંબંધિત મહત્વપૂર્ણ મુદ્દાઓ પર ચર્ચા કરવામાં આવી હતી.

સામાન્ય રીતે, જ્યારે અંતિમ વપરાશકર્તા નેટવર્ક પર લૉગ કરે છે, ત્યારે તે નેટવર્કને એક બ્રોડકાસ્ટ વિનંતી મોકલે છે જે તમામ નેટવર્ક ઉપકરણો દ્વારા "સાંભળવામાં" આવે છે. જો તે સીધું DHCP સર્વર સાથે જોડાયેલ હોય, તો વિનંતી સીધી સર્વર પર જાય છે. જો નેટવર્ક પર ટ્રાન્સમિશન ઉપકરણો છે - રાઉટર્સ અને સ્વીચો - તો પછી સર્વરને વિનંતી તેમના દ્વારા જાય છે. વિનંતી પ્રાપ્ત કર્યા પછી, DHCP સર્વર વપરાશકર્તાને પ્રતિસાદ આપે છે, જે તેને IP સરનામું મેળવવાની વિનંતી મોકલે છે, જે પછી સર્વર વપરાશકર્તાના ઉપકરણ પર આવા સરનામું રજૂ કરે છે. સામાન્ય પરિસ્થિતિઓમાં IP એડ્રેસ મેળવવાની પ્રક્રિયા આ રીતે થાય છે. ડાયાગ્રામમાંના ઉદાહરણ અનુસાર, અંતિમ વપરાશકર્તાને સરનામું 192.168.10.10 અને ગેટવે સરનામું 192.168.10.1 પ્રાપ્ત થશે. આ પછી, વપરાશકર્તા આ ગેટવે દ્વારા ઇન્ટરનેટ ઍક્સેસ કરી શકશે અથવા અન્ય નેટવર્ક ઉપકરણો સાથે વાતચીત કરી શકશે.

ચાલો ધારીએ કે વાસ્તવિક DHCP સર્વર ઉપરાંત, નેટવર્ક પર એક કપટપૂર્ણ DHCP સર્વર છે, એટલે કે, હુમલાખોર ફક્ત તેના કમ્પ્યુટર પર DHCP સર્વર ઇન્સ્ટોલ કરે છે. આ કિસ્સામાં, વપરાશકર્તા, નેટવર્કમાં પ્રવેશ્યા પછી, એક બ્રોડકાસ્ટ સંદેશ પણ મોકલે છે, જે રાઉટર અને સ્વીચ વાસ્તવિક સર્વર પર ફોરવર્ડ કરશે.

જો કે, ઠગ સર્વર નેટવર્કને "સાંભળે છે" અને, પ્રસારણ સંદેશ પ્રાપ્ત કર્યા પછી, વાસ્તવિક DHCP સર્વરને બદલે વપરાશકર્તાને તેની પોતાની ઑફર સાથે પ્રતિસાદ આપશે. તે પ્રાપ્ત કર્યા પછી, વપરાશકર્તા તેની સંમતિ આપશે, જેના પરિણામે તેને હુમલાખોર તરફથી IP સરનામું 192.168.10.2 અને ગેટવે સરનામું 192.168.10.95 પ્રાપ્ત થશે.

IP એડ્રેસ મેળવવાની પ્રક્રિયાને ટૂંકમાં DORA તરીકે ઓળખવામાં આવે છે અને તેમાં 4 તબક્કાઓનો સમાવેશ થાય છે: ડિસ્કવરી, ઑફર, વિનંતી અને સ્વીકૃતિ. જેમ તમે જોઈ શકો છો, હુમલાખોર ઉપકરણને કાનૂની IP સરનામું આપશે જે નેટવર્ક સરનામાંની ઉપલબ્ધ શ્રેણીમાં છે, પરંતુ વાસ્તવિક ગેટવે સરનામાં 192.168.10.1ને બદલે, તે તેને નકલી સરનામાં 192.168.10.95 સાથે "સ્લિપ" કરશે, એટલે કે, તેના પોતાના કમ્પ્યુટરનું સરનામું.

આ પછી, ઇન્ટરનેટ પર નિર્દેશિત તમામ અંતિમ વપરાશકર્તા ટ્રાફિક હુમલાખોરના કમ્પ્યુટરમાંથી પસાર થશે. હુમલાખોર તેને આગળ રીડાયરેક્ટ કરશે, અને વપરાશકર્તાને સંચારની આ પદ્ધતિથી કોઈ ફરક લાગશે નહીં, કારણ કે તે હજી પણ ઇન્ટરનેટ ઍક્સેસ કરી શકશે.

એ જ રીતે, ઈન્ટરનેટથી રીટર્ન ટ્રાફિક હુમલાખોરના કોમ્પ્યુટર દ્વારા યુઝર સુધી પહોંચશે. આને સામાન્ય રીતે મેન ઇન ધ મિડલ (MiM) હુમલો કહેવામાં આવે છે. બધા વપરાશકર્તા ટ્રાફિક હેકરના કમ્પ્યુટરમાંથી પસાર થશે, જે તે જે મોકલે છે અથવા મેળવે છે તે બધું વાંચવામાં સમર્થ હશે. આ એક પ્રકારનો હુમલો છે જે DHCP નેટવર્ક્સ પર થઈ શકે છે.

બીજા પ્રકારના હુમલાને ડિનાયલ ઑફ સર્વિસ (DoS) અથવા "સેવાનો ઇનકાર" કહેવામાં આવે છે. શું થયું? હેકરનું કોમ્પ્યુટર હવે DHCP સર્વર તરીકે કામ કરતું નથી, તે હવે માત્ર હુમલો કરનાર ઉપકરણ છે. તે વાસ્તવિક DHCP સર્વરને ડિસ્કવરી વિનંતી મોકલે છે અને જવાબમાં ઑફર સંદેશ પ્રાપ્ત કરે છે, પછી સર્વરને વિનંતી મોકલે છે અને તેમાંથી IP સરનામું મેળવે છે. હુમલાખોરનું કોમ્પ્યુટર દર થોડા મિલીસેકન્ડમાં આવું કરે છે, દરેક વખતે નવું IP સરનામું પ્રાપ્ત કરે છે.

સેટિંગ્સ પર આધાર રાખીને, વાસ્તવિક DHCP સર્વરમાં સેંકડો અથવા કેટલાક સો ખાલી IP સરનામાઓનો પૂલ હોય છે. હેકરના કોમ્પ્યુટરને IP એડ્રેસ પ્રાપ્ત થશે .1, .2, .3, વગેરે જ્યાં સુધી એડ્રેસનો પૂલ સંપૂર્ણપણે ખતમ ન થાય ત્યાં સુધી. આ પછી, DHCP સર્વર નેટવર્ક પર નવા ગ્રાહકોને IP સરનામાં પ્રદાન કરવામાં સક્ષમ રહેશે નહીં. જો કોઈ નવો વપરાશકર્તા નેટવર્કમાં પ્રવેશ કરે છે, તો તે મફત IP સરનામું મેળવી શકશે નહીં. આ DHCP સર્વર પર DoS હુમલાનો મુદ્દો છે: તેને નવા વપરાશકર્તાઓને IP સરનામાં જારી કરવાથી રોકવા માટે.

આવા હુમલાઓનો સામનો કરવા માટે, DHCP સ્નૂપિંગની વિભાવનાનો ઉપયોગ કરવામાં આવે છે. આ એક OSI લેયર XNUMX ફંક્શન છે જે ACLની જેમ કાર્ય કરે છે અને માત્ર સ્વીચો પર કામ કરે છે. DHCP સ્નૂપિંગને સમજવા માટે, તમારે બે ખ્યાલો ધ્યાનમાં લેવાની જરૂર છે: વિશ્વસનીય સ્વીચના વિશ્વસનીય પોર્ટ અને અન્ય નેટવર્ક ઉપકરણો માટે અવિશ્વસનીય અવિશ્વસનીય પોર્ટ.

વિશ્વસનીય પોર્ટ કોઈપણ પ્રકારના DHCP સંદેશને પસાર થવા દે છે. અવિશ્વસનીય બંદરો એવા પોર્ટ છે કે જેની સાથે ક્લાયંટ જોડાયેલા હોય છે, અને DHCP સ્નૂપિંગ તેને બનાવે છે જેથી તે પોર્ટ્સમાંથી આવતા કોઈપણ DHCP સંદેશાને કાઢી નાખવામાં આવશે.

જો આપણે DORA પ્રક્રિયાને યાદ કરીએ, તો સંદેશ D ​​ક્લાયંટ તરફથી સર્વર પર આવે છે, અને સંદેશ O સર્વરથી ક્લાયન્ટને આવે છે. આગળ, ક્લાયંટ તરફથી સર્વરને સંદેશ R મોકલવામાં આવે છે, અને સર્વર ક્લાયંટને સંદેશ A મોકલે છે.

અસુરક્ષિત બંદરોમાંથી સંદેશા D અને R સ્વીકારવામાં આવે છે, અને O અને A જેવા સંદેશાઓ કાઢી નાખવામાં આવે છે. જ્યારે DHCP સ્નૂપિંગ ફંક્શન સક્ષમ હોય, ત્યારે તમામ સ્વીચ પોર્ટ ડિફોલ્ટ રૂપે અસુરક્ષિત ગણવામાં આવે છે. આ કાર્યનો ઉપયોગ સમગ્ર સ્વિચ માટે અને વ્યક્તિગત VLAN માટે બંને માટે થઈ શકે છે. ઉદાહરણ તરીકે, જો VLAN10 પોર્ટ સાથે જોડાયેલ હોય, તો તમે માત્ર VLAN10 માટે જ આ સુવિધાને સક્ષમ કરી શકો છો, અને પછી તેનું પોર્ટ અવિશ્વસનીય બની જશે.

જ્યારે તમે DHCP સ્નૂપિંગને સક્ષમ કરો છો, ત્યારે તમારે, સિસ્ટમ એડમિનિસ્ટ્રેટર તરીકે, સ્વીચ સેટિંગ્સમાં જવું પડશે અને પોર્ટ્સને એવી રીતે ગોઠવવું પડશે કે ફક્ત તે જ પોર્ટ્સ કે જેની સાથે સર્વર જેવા ઉપકરણો જોડાયેલા હોય તેને અવિશ્વસનીય ગણવામાં આવે. આનો અર્થ કોઈપણ પ્રકારનું સર્વર છે, માત્ર DHCP જ નહીં.
ઉદાહરણ તરીકે, જો બીજી સ્વીચ, રાઉટર અથવા વાસ્તવિક DHCP સર્વર પોર્ટ સાથે જોડાયેલ હોય, તો આ પોર્ટ વિશ્વસનીય તરીકે ગોઠવેલ છે. બાકીના સ્વિચ પોર્ટ કે જેમાં અંતિમ-વપરાશકર્તા ઉપકરણો અથવા વાયરલેસ એક્સેસ પોઈન્ટ જોડાયેલા છે તે અસુરક્ષિત તરીકે ગોઠવેલા હોવા જોઈએ. તેથી, કોઈપણ ઉપકરણ જેમ કે એક્સેસ પોઈન્ટ કે જેની સાથે વપરાશકર્તાઓ જોડાયેલા છે તે અવિશ્વસનીય પોર્ટ દ્વારા સ્વીચ સાથે જોડાય છે.

જો હુમલાખોરનું કમ્પ્યુટર સ્વીચ પર O અને A પ્રકારના સંદેશાઓ મોકલે છે, તો તે અવરોધિત થઈ જશે, એટલે કે, આવા ટ્રાફિક અવિશ્વસનીય પોર્ટમાંથી પસાર થઈ શકશે નહીં. આ રીતે DHCP સ્નૂપિંગ ઉપર ચર્ચા કરેલ હુમલાના પ્રકારોને અટકાવે છે.

વધુમાં, DHCP સ્નૂપિંગ DHCP બંધનકર્તા કોષ્ટકો બનાવે છે. ક્લાયન્ટને સર્વરમાંથી IP સરનામું પ્રાપ્ત થયા પછી, આ સરનામું, તેને પ્રાપ્ત કરેલ ઉપકરણના MAC સરનામાં સાથે, DHCP સ્નૂપિંગ કોષ્ટકમાં દાખલ કરવામાં આવશે. આ બે લાક્ષણિકતાઓ અસુરક્ષિત પોર્ટ સાથે સંકળાયેલ હશે જેની સાથે ક્લાયંટ જોડાયેલ છે.

આ મદદ કરે છે, ઉદાહરણ તરીકે, DoS હુમલાને રોકવામાં. જો આપેલ MAC એડ્રેસ ધરાવતા ક્લાયન્ટને પહેલાથી જ IP એડ્રેસ પ્રાપ્ત થયું હોય, તો તેને શા માટે નવા IP એડ્રેસની જરૂર પડશે? આ કિસ્સામાં, કોષ્ટકમાં પ્રવેશ તપાસ્યા પછી તરત જ આવી પ્રવૃત્તિના કોઈપણ પ્રયાસને અટકાવવામાં આવશે.
આગળની વસ્તુ જેની આપણે ચર્ચા કરવાની જરૂર છે તે છે નોનડિફોલ્ટ, અથવા "નોન-ડિફોલ્ટ" નેટિવ VLAN. અમે VLAN ના વિષય પર વારંવાર સ્પર્શ કર્યો છે, આ નેટવર્ક્સ માટે 4 વિડિઓ પાઠ સમર્પિત કર્યા છે. જો તમે આ શું છે તે ભૂલી ગયા છો, તો હું તમને આ પાઠોની સમીક્ષા કરવાની સલાહ આપું છું.

આપણે જાણીએ છીએ કે સિસ્કો સ્વિચમાં ડિફોલ્ટ નેટિવ VLAN એ VLAN1 છે. VLAN હોપિંગ નામના હુમલાઓ છે. ચાલો માની લઈએ કે ડાયાગ્રામમાંનું કમ્પ્યુટર ડિફોલ્ટ નેટિવ નેટવર્ક VLAN1 દ્વારા પ્રથમ સ્વીચ સાથે જોડાયેલ છે, અને છેલ્લી સ્વીચ VLAN10 નેટવર્ક દ્વારા કમ્પ્યુટર સાથે જોડાયેલ છે. સ્વીચો વચ્ચે ટ્રંક સ્થાપિત થયેલ છે.

સામાન્ય રીતે, જ્યારે પ્રથમ કમ્પ્યુટરથી ટ્રાફિક સ્વિચ પર આવે છે, ત્યારે તે જાણે છે કે આ કમ્પ્યુટર જે પોર્ટ સાથે જોડાયેલ છે તે VLAN1 નો ભાગ છે. આગળ, આ ટ્રાફિક બે સ્વીચો વચ્ચેના ટ્રંક પર જાય છે, અને પ્રથમ સ્વીચ આના જેવું વિચારે છે: “આ ટ્રાફિક મૂળ VLAN તરફથી આવ્યો છે, તેથી મારે તેને ટેગ કરવાની જરૂર નથી,” અને ટ્રંકની સાથે અનટેગેડ ટ્રાફિકને આગળ ધપાવે છે, જે બીજી સ્વીચ પર આવે છે.

સ્વિચ 2, ટૅગ વિનાનો ટ્રાફિક પ્રાપ્ત કર્યા પછી, આના જેવું વિચારે છે: "આ ટ્રાફિક અનટૅગ કરેલ હોવાથી, તેનો અર્થ એ છે કે તે VLAN1 નો છે, તેથી હું તેને VLAN10 પર મોકલી શકતો નથી." પરિણામે, પ્રથમ કમ્પ્યુટર દ્વારા મોકલવામાં આવેલ ટ્રાફિક બીજા કમ્પ્યુટર સુધી પહોંચી શકતો નથી.

વાસ્તવમાં, તે આ રીતે થવું જોઈએ - VLAN1 ટ્રાફિક VLAN10 માં આવવો જોઈએ નહીં. હવે ચાલો કલ્પના કરીએ કે પ્રથમ કમ્પ્યુટરની પાછળ એક હુમલાખોર છે જે VLAN10 ટેગ સાથે ફ્રેમ બનાવે છે અને તેને સ્વીચ પર મોકલે છે. જો તમને યાદ છે કે VLAN કેવી રીતે કાર્ય કરે છે, તો તમે જાણો છો કે જો ટેગ કરેલ ટ્રાફિક સ્વીચ સુધી પહોંચે છે, તો તે ફ્રેમ સાથે કંઈ કરતું નથી, પરંતુ ફક્ત તેને ટ્રંકની સાથે આગળ પ્રસારિત કરે છે. પરિણામે, બીજી સ્વીચ એ ટેગ સાથે ટ્રાફિક પ્રાપ્ત કરશે જે હુમલાખોર દ્વારા બનાવવામાં આવ્યું હતું, અને પ્રથમ સ્વીચ દ્વારા નહીં.

આનો અર્થ એ છે કે તમે મૂળ VLAN ને VLAN1 સિવાય બીજું કંઈક સાથે બદલી રહ્યા છો.

બીજી સ્વીચ જાણતી નથી કે VLAN10 ટેગ કોણે બનાવ્યું છે, તે ફક્ત બીજા કમ્પ્યુટર પર ટ્રાફિક મોકલે છે. VLAN હોપિંગ હુમલો આ રીતે થાય છે, જ્યારે હુમલાખોર એવા નેટવર્કમાં ઘૂસી જાય છે જે શરૂઆતમાં તેના માટે અગમ્ય હતું.

આવા હુમલાઓને રોકવા માટે, તમારે રેન્ડમ VLAN, અથવા રેન્ડમ VLAN બનાવવાની જરૂર છે, ઉદાહરણ તરીકે VLAN999, VLAN666, VLAN777, વગેરે, જેનો ઉપયોગ હુમલાખોર બિલકુલ કરી શકતો નથી. તે જ સમયે, અમે સ્વીચોના ટ્રંક પોર્ટ પર જઈએ છીએ અને તેમને કામ કરવા માટે ગોઠવીએ છીએ, ઉદાહરણ તરીકે, મૂળ VLAN666 સાથે. આ કિસ્સામાં, અમે ટ્રંક પોર્ટ માટે મૂળ VLAN ને VLAN1 થી VLAN66 માં બદલીએ છીએ, એટલે કે, અમે VLAN1 સિવાયના કોઈપણ નેટવર્કનો મૂળ VLAN તરીકે ઉપયોગ કરીએ છીએ.

ટ્રંકની બંને બાજુના બંદરો સમાન VLAN પર ગોઠવેલા હોવા જોઈએ, અન્યથા અમને VLAN નંબરની મેળ ખાતી ભૂલ પ્રાપ્ત થશે.

આ સેટઅપ પછી, જો હેકર VLAN હોપિંગ હુમલો કરવાનું નક્કી કરે છે, તો તે સફળ થશે નહીં, કારણ કે મૂળ VLAN1 સ્વીચોના કોઈપણ ટ્રંક પોર્ટને સોંપવામાં આવ્યું નથી. બિન-ડિફોલ્ટ મૂળ VLAN બનાવીને હુમલાઓ સામે રક્ષણ કરવાની આ પદ્ધતિ છે.

અમારી સાથે રહેવા બદલ આભાર. શું તમને અમારા લેખો ગમે છે? વધુ રસપ્રદ સામગ્રી જોવા માંગો છો? ઓર્ડર આપીને અથવા મિત્રોને ભલામણ કરીને અમને ટેકો આપો, એન્ટ્રી-લેવલ સર્વર્સના અનન્ય એનાલોગ પર Habr વપરાશકર્તાઓ માટે 30% ડિસ્કાઉન્ટ, જેની શોધ અમારા દ્વારા તમારા માટે કરવામાં આવી હતી: VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps વિશેનું સંપૂર્ણ સત્ય $20 થી અથવા સર્વર કેવી રીતે શેર કરવું? (RAID1 અને RAID10 સાથે ઉપલબ્ધ, 24 કોરો સુધી અને 40GB DDR4 સુધી).

ડેલ R730xd 2 ગણું સસ્તું? માત્ર અહીં 2 x ઇન્ટેલ ટેટ્રાડેકા-કોર Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 ટીવી $199 થી નેધરલેન્ડમાં! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $99 થી! વિશે વાંચો ઇન્ફ્રાસ્ટ્રક્ચર કોર્પોરેશન કેવી રીતે બનાવવું. ડેલ R730xd E5-2650 v4 સર્વર્સના ઉપયોગ સાથેનો વર્ગ એક પેની માટે 9000 યુરોના મૂલ્યના છે?

સોર્સ: www.habr.com