सिस्को ट्रेनिंग 200-125 सीसीएनए v3.0। दिन 41: डीएचसीपी स्नूपिंग और नॉनडिफॉल्ट नेटिव वीएलएएन

आज हम दो महत्वपूर्ण विषयों पर गौर करेंगे: डीएचसीपी स्नूपिंग और "नॉन-डिफॉल्ट" नेटिव वीएलएएन। पाठ पर आगे बढ़ने से पहले, मैं आपको हमारे अन्य यूट्यूब चैनल पर जाने के लिए आमंत्रित करता हूं जहां आप अपनी याददाश्त को बेहतर बनाने के तरीके पर एक वीडियो देख सकते हैं। मेरा सुझाव है कि आप इस चैनल की सदस्यता लें, क्योंकि हम वहां आत्म-सुधार के लिए बहुत सारी उपयोगी युक्तियाँ पोस्ट करते हैं।

यह पाठ ICND1.7 विषय के उपधारा 1.7बी और 2सी के अध्ययन के लिए समर्पित है। इससे पहले कि हम डीएचसीपी स्नूपिंग शुरू करें, आइए पिछले पाठों के कुछ बिंदुओं को याद करें। यदि मैं गलत नहीं हूं, तो हमने डीएचसीपी के बारे में छठे दिन और 6वें दिन में सीखा। वहां, डीएचसीपी सर्वर द्वारा आईपी पते के असाइनमेंट और संबंधित संदेशों के आदान-प्रदान के संबंध में महत्वपूर्ण मुद्दों पर चर्चा की गई।

आमतौर पर, जब कोई अंतिम उपयोगकर्ता किसी नेटवर्क पर लॉग इन करता है, तो वह नेटवर्क को एक प्रसारण अनुरोध भेजता है जिसे सभी नेटवर्क डिवाइस "सुन" लेते हैं। यदि यह सीधे डीएचसीपी सर्वर से जुड़ा है, तो अनुरोध सीधे सर्वर पर जाता है। यदि नेटवर्क पर ट्रांसमिशन डिवाइस हैं - राउटर और स्विच - तो सर्वर से अनुरोध उनके माध्यम से जाता है। अनुरोध प्राप्त करने के बाद, डीएचसीपी सर्वर उपयोगकर्ता को जवाब देता है, जो उसे आईपी पता प्राप्त करने के लिए अनुरोध भेजता है, जिसके बाद सर्वर उपयोगकर्ता के डिवाइस को ऐसा पता जारी करता है। सामान्य परिस्थितियों में आईपी एड्रेस प्राप्त करने की प्रक्रिया इसी प्रकार होती है। आरेख में उदाहरण के अनुसार, अंतिम उपयोगकर्ता को पता 192.168.10.10 और गेटवे पता 192.168.10.1 प्राप्त होगा। इसके बाद, उपयोगकर्ता इस गेटवे के माध्यम से इंटरनेट का उपयोग कर सकेगा या अन्य नेटवर्क उपकरणों के साथ संचार कर सकेगा।

आइए मान लें कि वास्तविक डीएचसीपी सर्वर के अलावा, नेटवर्क पर एक धोखाधड़ी वाला डीएचसीपी सर्वर है, यानी, हमलावर बस अपने कंप्यूटर पर एक डीएचसीपी सर्वर स्थापित करता है। इस मामले में, उपयोगकर्ता, नेटवर्क में प्रवेश करके, एक प्रसारण संदेश भी भेजता है, जिसे राउटर और स्विच वास्तविक सर्वर पर भेज देगा।

हालाँकि, दुष्ट सर्वर भी नेटवर्क को "सुनता" है, और, प्रसारण संदेश प्राप्त करने के बाद, वास्तविक डीएचसीपी सर्वर के बजाय अपने स्वयं के प्रस्ताव के साथ उपयोगकर्ता को जवाब देगा। इसे प्राप्त करने के बाद, उपयोगकर्ता अपनी सहमति देगा, जिसके परिणामस्वरूप उसे हमलावर से एक आईपी पता 192.168.10.2 और एक गेटवे पता 192.168.10.95 प्राप्त होगा।

IP पता प्राप्त करने की प्रक्रिया को संक्षेप में DORA कहा जाता है और इसमें 4 चरण होते हैं: खोज, प्रस्ताव, अनुरोध और पावती। जैसा कि आप देख सकते हैं, हमलावर डिवाइस को एक कानूनी आईपी पता देगा जो नेटवर्क पते की उपलब्ध सीमा में है, लेकिन वास्तविक गेटवे पते 192.168.10.1 के बजाय, वह इसे नकली पते 192.168.10.95 के साथ "स्लिप" कर देगा। यानी उसके अपने कंप्यूटर का पता.

इसके बाद, इंटरनेट पर निर्देशित सभी अंतिम-उपयोगकर्ता ट्रैफ़िक हमलावर के कंप्यूटर से होकर गुजरेगा। हमलावर इसे आगे रीडायरेक्ट करेगा, और उपयोगकर्ता को संचार की इस पद्धति से कोई अंतर महसूस नहीं होगा, क्योंकि वह अभी भी इंटरनेट तक पहुंचने में सक्षम होगा।

उसी तरह, इंटरनेट से रिटर्न ट्रैफ़िक हमलावर के कंप्यूटर के माध्यम से उपयोगकर्ता तक प्रवाहित होगा। इसे ही आमतौर पर मैन इन द मिडिल (एमआईएम) हमला कहा जाता है। उपयोगकर्ता का सारा ट्रैफ़िक हैकर के कंप्यूटर से होकर गुजरेगा, जो उसके द्वारा भेजी या प्राप्त की गई हर चीज़ को पढ़ सकेगा। यह एक प्रकार का हमला है जो डीएचसीपी नेटवर्क पर हो सकता है।

दूसरे प्रकार के हमले को डिनायल ऑफ़ सर्विस (DoS), या "सेवा से इनकार" कहा जाता है। क्या होता है? हैकर का कंप्यूटर अब डीएचसीपी सर्वर के रूप में कार्य नहीं करता है, यह अब केवल एक हमलावर उपकरण है। यह वास्तविक डीएचसीपी सर्वर को एक डिस्कवरी अनुरोध भेजता है और प्रतिक्रिया में एक ऑफर संदेश प्राप्त करता है, फिर सर्वर को एक अनुरोध भेजता है और उससे एक आईपी पता प्राप्त करता है। हमलावर का कंप्यूटर हर कुछ मिलीसेकंड में ऐसा करता है, हर बार उसे एक नया आईपी पता प्राप्त होता है।

सेटिंग्स के आधार पर, एक वास्तविक डीएचसीपी सर्वर में सैकड़ों या कई सौ खाली आईपी पते का एक पूल होता है। हैकर के कंप्यूटर को आईपी पते .1, .2, .3, इत्यादि प्राप्त होंगे जब तक कि पते का पूल पूरी तरह से समाप्त नहीं हो जाता। इसके बाद, डीएचसीपी सर्वर नेटवर्क पर नए क्लाइंट को आईपी एड्रेस प्रदान नहीं कर पाएगा। यदि कोई नया उपयोगकर्ता नेटवर्क में प्रवेश करता है, तो वह निःशुल्क आईपी पता प्राप्त नहीं कर पाएगा। यह डीएचसीपी सर्वर पर DoS हमले का बिंदु है: इसे नए उपयोगकर्ताओं को आईपी पते जारी करने से रोकना।

ऐसे हमलों का मुकाबला करने के लिए डीएचसीपी स्नूपिंग की अवधारणा का उपयोग किया जाता है। यह एक OSI लेयर 2 फ़ंक्शन है जो ACL की तरह कार्य करता है और केवल स्विच पर काम करता है। डीएचसीपी स्नूपिंग को समझने के लिए, आपको दो अवधारणाओं पर विचार करने की आवश्यकता है: एक विश्वसनीय स्विच के विश्वसनीय पोर्ट और अन्य नेटवर्क उपकरणों के लिए अविश्वसनीय अविश्वसनीय पोर्ट।

विश्वसनीय पोर्ट किसी भी प्रकार के डीएचसीपी संदेश को गुजरने की अनुमति देते हैं। अविश्वसनीय पोर्ट वे पोर्ट होते हैं जिनसे क्लाइंट जुड़े होते हैं, और डीएचसीपी स्नूपिंग इसे ऐसा बनाता है कि उन पोर्ट से आने वाले किसी भी डीएचसीपी संदेश को छोड़ दिया जाएगा।

यदि हम DORA प्रक्रिया को याद करते हैं, तो संदेश D क्लाइंट से सर्वर पर आता है, और संदेश O सर्वर से क्लाइंट तक आता है। इसके बाद, क्लाइंट से सर्वर को एक संदेश R भेजा जाता है, और सर्वर क्लाइंट को एक संदेश A भेजता है।

असुरक्षित पोर्ट से संदेश डी और आर स्वीकार किए जाते हैं, और ओ और ए जैसे संदेश खारिज कर दिए जाते हैं। जब डीएचसीपी स्नूपिंग फ़ंक्शन सक्षम होता है, तो सभी स्विच पोर्ट डिफ़ॉल्ट रूप से असुरक्षित माने जाते हैं। इस फ़ंक्शन का उपयोग संपूर्ण स्विच और व्यक्तिगत वीएलएएन दोनों के लिए किया जा सकता है। उदाहरण के लिए, यदि VLAN10 किसी पोर्ट से जुड़ा है, तो आप इस सुविधा को केवल VLAN10 के लिए सक्षम कर सकते हैं, और फिर इसका पोर्ट अविश्वसनीय हो जाएगा।

जब आप डीएचसीपी स्नूपिंग सक्षम करते हैं, तो आपको, एक सिस्टम प्रशासक के रूप में, स्विच सेटिंग्स में जाना होगा और पोर्ट को इस तरह से कॉन्फ़िगर करना होगा कि केवल वे पोर्ट जिनसे सर्वर के समान डिवाइस जुड़े हुए हैं, अविश्वसनीय माने जाएं। इसका मतलब सिर्फ डीएचसीपी ही नहीं बल्कि किसी भी प्रकार का सर्वर है।
उदाहरण के लिए, यदि कोई अन्य स्विच, राउटर या वास्तविक डीएचसीपी सर्वर किसी पोर्ट से जुड़ा है, तो यह पोर्ट विश्वसनीय के रूप में कॉन्फ़िगर किया गया है। शेष स्विच पोर्ट जिनसे अंतिम-उपयोगकर्ता डिवाइस या वायरलेस एक्सेस पॉइंट जुड़े हुए हैं, उन्हें असुरक्षित के रूप में कॉन्फ़िगर किया जाना चाहिए। इसलिए, कोई भी उपकरण जैसे एक्सेस प्वाइंट जिससे उपयोगकर्ता जुड़े हुए हैं, एक अविश्वसनीय पोर्ट के माध्यम से स्विच से कनेक्ट होता है।

यदि हमलावर का कंप्यूटर स्विच पर O और A प्रकार के संदेश भेजता है, तो उन्हें ब्लॉक कर दिया जाएगा, यानी ऐसा ट्रैफ़िक अविश्वसनीय पोर्ट से नहीं गुजर पाएगा। इस प्रकार डीएचसीपी स्नूपिंग ऊपर चर्चा किए गए हमलों के प्रकारों को रोकती है।

इसके अतिरिक्त, डीएचसीपी स्नूपिंग डीएचसीपी बाइंडिंग टेबल बनाता है। क्लाइंट को सर्वर से एक आईपी पता प्राप्त होने के बाद, यह पता, इसे प्राप्त करने वाले डिवाइस के मैक पते के साथ, डीएचसीपी स्नूपिंग तालिका में दर्ज किया जाएगा। ये दो विशेषताएँ उस असुरक्षित पोर्ट से जुड़ी होंगी जिससे क्लाइंट जुड़ा हुआ है।

उदाहरण के लिए, यह DoS हमले को रोकने में मदद करता है। यदि किसी दिए गए मैक पते वाले ग्राहक को पहले से ही एक आईपी पता प्राप्त हो चुका है, तो उसे नए आईपी पते की आवश्यकता क्यों होनी चाहिए? इस मामले में, तालिका में प्रविष्टि की जाँच के तुरंत बाद ऐसी गतिविधि के किसी भी प्रयास को रोका जाएगा।
अगली चीज़ जिस पर हमें चर्चा करने की आवश्यकता है वह है नॉनडिफॉल्ट, या "नॉन-डिफॉल्ट" नेटिव वीएलएएन। हमने इन नेटवर्कों पर 4 वीडियो पाठ समर्पित करते हुए वीएलएएन के विषय को बार-बार छुआ है। यदि आप भूल गए हैं कि यह क्या है, तो मैं आपको इन पाठों की समीक्षा करने की सलाह देता हूं।

हम जानते हैं कि सिस्को स्विच में डिफ़ॉल्ट नेटिव VLAN VLAN1 है। ऐसे हमले होते हैं जिन्हें वीएलएएन होपिंग कहा जाता है। आइए मान लें कि आरेख में कंप्यूटर डिफ़ॉल्ट मूल नेटवर्क VLAN1 द्वारा पहले स्विच से जुड़ा है, और अंतिम स्विच VLAN10 नेटवर्क द्वारा कंप्यूटर से जुड़ा है। स्विचों के बीच एक ट्रंक स्थापित किया गया है।

आमतौर पर, जब पहले कंप्यूटर से ट्रैफ़िक स्विच पर आता है, तो उसे पता चलता है कि जिस पोर्ट से यह कंप्यूटर जुड़ा है वह VLAN1 का हिस्सा है। इसके बाद, यह ट्रैफ़िक दो स्विचों के बीच ट्रंक में जाता है, और पहला स्विच इस तरह सोचता है: "यह ट्रैफ़िक नेटिव वीएलएएन से आया है, इसलिए मुझे इसे टैग करने की आवश्यकता नहीं है," और ट्रंक के साथ अनटैग किए गए ट्रैफ़िक को आगे बढ़ाता है, जो दूसरे स्विच पर आता है।

स्विच 2, अनटैग्ड ट्रैफ़िक प्राप्त करने के बाद, इस तरह सोचता है: "चूंकि यह ट्रैफ़िक अनटैग्ड है, इसका मतलब है कि यह वीएलएएन1 से संबंधित है, इसलिए मैं इसे वीएलएएन10 पर नहीं भेज सकता।" परिणामस्वरूप, पहले कंप्यूटर द्वारा भेजा गया ट्रैफ़िक दूसरे कंप्यूटर तक नहीं पहुँच पाता।

वास्तव में, ऐसा ही होना चाहिए - VLAN1 ट्रैफ़िक VLAN10 में नहीं आना चाहिए। अब आइए कल्पना करें कि पहले कंप्यूटर के पीछे एक हमलावर है जो VLAN10 टैग के साथ एक फ्रेम बनाता है और इसे स्विच पर भेजता है। यदि आपको याद है कि वीएलएएन कैसे काम करता है, तो आप जानते हैं कि यदि टैग किया गया ट्रैफ़िक स्विच तक पहुंचता है, तो यह फ्रेम के साथ कुछ नहीं करता है, बल्कि इसे ट्रंक के साथ आगे प्रसारित करता है। परिणामस्वरूप, दूसरे स्विच को उस टैग के साथ ट्रैफ़िक प्राप्त होगा जो हमलावर द्वारा बनाया गया था, न कि पहले स्विच द्वारा।

इसका मतलब है कि आप नेटिव वीएलएएन को वीएलएएन1 के अलावा किसी अन्य चीज़ से बदल रहे हैं।

चूँकि दूसरे स्विच को यह नहीं पता कि VLAN10 टैग किसने बनाया है, यह बस दूसरे कंप्यूटर पर ट्रैफ़िक भेजता है। इस प्रकार वीएलएएन होपिंग हमला होता है, जब एक हमलावर एक ऐसे नेटवर्क में प्रवेश करता है जो शुरू में उसके लिए दुर्गम था।

ऐसे हमलों को रोकने के लिए, आपको रैंडम वीएलएएन, या यादृच्छिक वीएलएएन बनाने की आवश्यकता है, उदाहरण के लिए वीएलएएन999, वीएलएएन666, वीएलएएन777, आदि, जिनका उपयोग किसी हमलावर द्वारा बिल्कुल भी नहीं किया जा सकता है। उसी समय, हम स्विच के ट्रंक पोर्ट पर जाते हैं और उन्हें काम करने के लिए कॉन्फ़िगर करते हैं, उदाहरण के लिए, नेटिव VLAN666 के साथ। इस मामले में, हम ट्रंक पोर्ट के लिए नेटिव वीएलएएन को वीएलएएन1 से वीएलएएन66 में बदलते हैं, यानी, हम वीएलएएन1 के अलावा किसी भी नेटवर्क को नेटिव वीएलएएन के रूप में उपयोग करते हैं।

ट्रंक के दोनों तरफ के पोर्ट को एक ही वीएलएएन पर कॉन्फ़िगर किया जाना चाहिए, अन्यथा हमें एक वीएलएएन नंबर बेमेल त्रुटि प्राप्त होगी।

इस कॉन्फ़िगरेशन के बाद, यदि कोई हैकर वीएलएएन होपिंग हमले को अंजाम देने का निर्णय लेता है, तो वह सफल नहीं होगा, क्योंकि मूल वीएलएएन1 को स्विच के किसी भी ट्रंक पोर्ट को नहीं सौंपा गया है। यह गैर-डिफ़ॉल्ट देशी वीएलएएन बनाकर हमलों से बचाव की विधि है।

हमारे साथ रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक रोचक सामग्री देखना चाहते हैं? आदेश देकर या मित्रों को अनुशंसा करके हमारा समर्थन करें, प्रवेश स्तर के सर्वरों के एक अद्वितीय एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% की छूट, जिसका आविष्कार हमारे द्वारा आपके लिए किया गया था: VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps के बारे में पूरी सच्चाई $20 से या सर्वर कैसे साझा करें? (RAID1 और RAID10 के साथ उपलब्ध, 24 कोर तक और 40GB DDR4 तक)।

डेल R730xd 2 गुना सस्ता? केवल यहां 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 टीवी $199 से नीदरलैंड में! डेल R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $99 से! के बारे में पढ़ा इन्फ्रास्ट्रक्चर कॉर्प का निर्माण कैसे करें। एक पैसा के लिए 730 यूरो मूल्य के डेल R5xd E2650-4 v9000 सर्वर के उपयोग के साथ वर्ग?

स्रोत: www.habr.com