Cisco Training 200-125 CCNA v3.0. დღე 41: DHCP Snooping და Nodefault Native VLAN

დღეს ჩვენ განვიხილავთ ორ მნიშვნელოვან თემას: DHCP Snooping და „არანაგულისხმევი“ Native VLAN-ები. სანამ გაკვეთილზე გადავიდოდეთ, გეპატიჟებით ეწვიოთ ჩვენს სხვა YouTube არხს, სადაც შეგიძლიათ უყუროთ ვიდეოს, თუ როგორ გააუმჯობესოთ მეხსიერება. გირჩევთ გამოიწეროთ ეს არხი, რადგან ჩვენ ვდებთ უამრავ სასარგებლო რჩევას თვითგაუმჯობესებისთვის.

ეს გაკვეთილი ეძღვნება ICND1.7 თემის 1.7b და 2c ქვეპუნქტების შესწავლას. სანამ DHCP Snooping-ს დავიწყებთ, გავიხსენოთ რამდენიმე პუნქტი წინა გაკვეთილებიდან. თუ არ ვცდები, DHCP-ის შესახებ მე-6 და 24 დღეს გავიგეთ. იქ მნიშვნელოვანი საკითხები განიხილეს DHCP სერვერის მიერ IP მისამართების მინიჭებასა და შესაბამისი შეტყობინებების გაცვლასთან დაკავშირებით.

როგორც წესი, როდესაც საბოლოო მომხმარებელი შედის ქსელში, ის აგზავნის მაუწყებლობის მოთხოვნას ქსელში, რომელსაც "ისმის" ყველა ქსელური მოწყობილობა. თუ ის პირდაპირ არის დაკავშირებული DHCP სერვერთან, მაშინ მოთხოვნა პირდაპირ სერვერზე მიდის. თუ ქსელში არის გადამცემი მოწყობილობები - მარშრუტიზატორები და კონცენტრატორები - მაშინ სერვერზე მოთხოვნა გადის მათში. მოთხოვნის მიღების შემდეგ, DHCP სერვერი პასუხობს მომხმარებელს, რომელიც მას უგზავნის მოთხოვნას IP მისამართის მისაღებად, რის შემდეგაც სერვერი აწვდის ასეთ მისამართს მომხმარებლის მოწყობილობას. ასე ხდება IP მისამართის მიღების პროცესი ნორმალურ პირობებში. დიაგრამაში მოცემული მაგალითის მიხედვით, საბოლოო მომხმარებელი მიიღებს მისამართს 192.168.10.10 და კარიბჭის მისამართს 192.168.10.1. ამის შემდეგ მომხმარებელს შეეძლება ინტერნეტში წვდომა ამ კარიბჭის მეშვეობით ან დაუკავშირდეს სხვა ქსელურ მოწყობილობებს.

დავუშვათ, რომ რეალური DHCP სერვერის გარდა, ქსელში არის თაღლითური DHCP სერვერი, ანუ თავდამსხმელი უბრალოდ აყენებს DHCP სერვერს თავის კომპიუტერზე. ამ შემთხვევაში, მომხმარებელი, ქსელში შესვლის შემდეგ, ასევე აგზავნის სამაუწყებლო შეტყობინებას, რომელსაც როუტერი და გადამრთველი გადასცემს რეალურ სერვერს.

ამასთან, თაღლითური სერვერი ასევე "უსმენს" ქსელს და, სამაუწყებლო შეტყობინების მიღების შემდეგ, უპასუხებს მომხმარებელს საკუთარი შეთავაზებით, რეალური DHCP სერვერის ნაცვლად. მისი მიღების შემდეგ მომხმარებელი მისცემს თანხმობას, რის შედეგადაც მიიღებს IP მისამართს თავდამსხმელისგან 192.168.10.2 და კარიბჭის მისამართს 192.168.10.95.

IP მისამართის მოპოვების პროცესი შემოკლებულია DORA და შედგება 4 ეტაპისგან: აღმოჩენა, შეთავაზება, მოთხოვნა და აღიარება. როგორც ხედავთ, თავდამსხმელი მოწყობილობას მისცემს ლეგალურ IP მისამართს, რომელიც არის ქსელის მისამართების ხელმისაწვდომი დიაპაზონში, მაგრამ რეალური კარიბჭის მისამართის ნაცვლად 192.168.10.1, ის "გადასვრის" მას ყალბი მისამართით 192.168.10.95. ანუ საკუთარი კომპიუტერის მისამართი.

ამის შემდეგ, ყველა საბოლოო მომხმარებლის ტრაფიკი, რომელიც მიმართულია ინტერნეტში, გაივლის თავდამსხმელის კომპიუტერს. თავდამსხმელი მას შემდგომში გადამისამართებს და მომხმარებელი ვერ იგრძნობს რაიმე განსხვავებას კომუნიკაციის ამ მეთოდით, რადგან მას მაინც შეეძლება ინტერნეტში წვდომა.

ანალოგიურად, ინტერნეტიდან დაბრუნებული ტრაფიკი მომხმარებელს მიედინება თავდამსხმელის კომპიუტერის მეშვეობით. ეს არის ის, რასაც ჩვეულებრივ უწოდებენ Man in Middle (MiM) შეტევას. მომხმარებლის მთელი ტრაფიკი გაივლის ჰაკერის კომპიუტერზე, რომელიც შეძლებს წაიკითხოს ყველაფერი, რასაც ის აგზავნის ან იღებს. ეს არის შეტევის ერთ-ერთი ტიპი, რომელიც შეიძლება განხორციელდეს DHCP ქსელებზე.

შეტევის მეორე ტიპს ეწოდება სერვისის უარყოფა (DoS), ან „მომსახურების უარყოფა“. Რა მოხდა? ჰაკერების კომპიუტერი აღარ მოქმედებს როგორც DHCP სერვერი, ის ახლა მხოლოდ შემტევი მოწყობილობაა. ის აგზავნის Discovery მოთხოვნას რეალურ DHCP სერვერზე და პასუხად იღებს Offer შეტყობინებას, შემდეგ აგზავნის მოთხოვნას სერვერზე და მისგან იღებს IP მისამართს. თავდამსხმელის კომპიუტერი ამას აკეთებს ყოველ რამდენიმე მილიწამში, ყოველ ჯერზე, როდესაც იღებს ახალ IP მისამართს.

პარამეტრებიდან გამომდინარე, რეალურ DHCP სერვერს აქვს ასობით ან რამდენიმე ასეული ვაკანტური IP მისამართი. ჰაკერის კომპიუტერი მიიღებს IP მისამართებს .1, .2, .3 და ასე შემდეგ, სანამ მისამართების კრებული მთლიანად არ ამოიწურება. ამის შემდეგ, DHCP სერვერი ვერ შეძლებს ქსელის ახალ კლიენტებს IP მისამართების მიწოდებას. თუ ახალი მომხმარებელი შედის ქსელში, ის ვერ მიიღებს უფასო IP მისამართს. ეს არის DoS შეტევის წერტილი DHCP სერვერზე: თავიდან აიცილოს იგი ახალი მომხმარებლებისთვის IP მისამართების გაცემას.

ასეთი თავდასხმების საწინააღმდეგოდ გამოიყენება DHCP Snooping-ის კონცეფცია. ეს არის OSI ფენის XNUMX ფუნქცია, რომელიც მოქმედებს როგორც ACL და მუშაობს მხოლოდ გადამრთველებზე. DHCP Snooping-ის გასაგებად, თქვენ უნდა გაითვალისწინოთ ორი კონცეფცია: სანდო გადამრთველის სანდო პორტები და სხვა ქსელური მოწყობილობებისთვის არასანდო არასანდო პორტები.

სანდო პორტები იძლევა ნებისმიერი ტიპის DHCP შეტყობინების გავლის საშუალებას. არასანდო პორტები არის პორტები, რომლებთანაც დაკავშირებულია კლიენტები და DHCP Snooping ხდის ისე, რომ ნებისმიერი DHCP შეტყობინება, რომელიც მოდის ამ პორტებიდან, გაუქმდება.

თუ გავიხსენებთ DORA პროცესს, შეტყობინება D მოდის კლიენტიდან სერვერზე, ხოლო შეტყობინება O მოდის სერვერიდან კლიენტზე. შემდეგი, შეტყობინება R იგზავნება კლიენტიდან სერვერზე, ხოლო სერვერი აგზავნის შეტყობინებას A კლიენტს.

დაუცველი პორტებიდან D და R შეტყობინებები მიიღება და ისეთი შეტყობინებები, როგორიცაა O და A, უგულებელყოფილია. როდესაც ჩართულია DHCP Snooping ფუნქცია, გადამრთველის ყველა პორტი ნაგულისხმევად დაუცველად ითვლება. ამ ფუნქციის გამოყენება შესაძლებელია როგორც მთლიანად გადამრთველისთვის, ასევე ცალკეული VLAN-ებისთვის. მაგალითად, თუ VLAN10 დაკავშირებულია პორტთან, შეგიძლიათ ჩართოთ ეს ფუნქცია მხოლოდ VLAN10-ისთვის და შემდეგ მისი პორტი გახდება არასანდო.

როდესაც ჩართავთ DHCP Snooping-ს, თქვენ, როგორც სისტემის ადმინისტრატორს, მოგიწევთ შეხვიდეთ გადართვის პარამეტრებში და დააკონფიგურიროთ პორტები ისე, რომ მხოლოდ ის პორტები, რომლებზეც დაკავშირებულია სერვერის მსგავსი მოწყობილობები, ჩაითვალოს არასანდო. ეს ნიშნავს ნებისმიერი ტიპის სერვერს, არა მხოლოდ DHCP.
მაგალითად, თუ სხვა გადამრთველი, როუტერი ან რეალური DHCP სერვერი დაკავშირებულია პორტთან, მაშინ ეს პორტი კონფიგურირებულია როგორც სანდო. დარჩენილი გადამრთველი პორტები, რომლებთანაც დაკავშირებულია საბოლოო მომხმარებლის მოწყობილობები ან უკაბელო წვდომის წერტილები, კონფიგურირებული უნდა იყოს, როგორც დაუცველი. ამიტომ, ნებისმიერი მოწყობილობა, როგორიცაა წვდომის წერტილი, რომელზეც მომხმარებლები არიან დაკავშირებული, გადამრთველს უერთდება არასანდო პორტის მეშვეობით.

თუ თავდამსხმელის კომპიუტერი გაგზავნის O და A ტიპის შეტყობინებებს გადამრთველზე, ისინი დაიბლოკება, ანუ ასეთი ტრაფიკი ვერ გაივლის არასაიმედო პორტს. ასე იცავს DHCP Snooping ზემოთ განხილულ თავდასხმების ტიპებს.

გარდა ამისა, DHCP Snooping ქმნის DHCP სავალდებულო ცხრილებს. მას შემდეგ, რაც კლიენტი მიიღებს IP მისამართს სერვერისგან, ეს მისამართი, მოწყობილობის MAC მისამართთან ერთად, რომელმაც იგი მიიღო, შეიყვანება DHCP Snooping ცხრილში. ეს ორი მახასიათებელი ასოცირდება დაუცველ პორტთან, რომელსაც კლიენტი უკავშირდება.

ეს ხელს უწყობს, მაგალითად, DoS შეტევის თავიდან აცილებას. თუ კლიენტმა მოცემული MAC მისამართით უკვე მიიღო IP მისამართი, მაშინ რატომ უნდა მოითხოვოს ახალი IP მისამართი? ამ შემთხვევაში, ასეთი აქტივობის ნებისმიერი მცდელობა აღიკვეთება ცხრილში ჩანაწერის შემოწმებისთანავე.
შემდეგი, რაზეც უნდა ვისაუბროთ არის Nodefault, ან „არანაგულისხმევი“ Native VLAN-ები. ჩვენ არაერთხელ შევეხეთ VLAN-ების თემას, ამ ქსელებს მივუძღვენით 4 ვიდეო გაკვეთილი. თუ დაგავიწყდათ რა არის ეს, გირჩევთ გადახედოთ ამ გაკვეთილებს.

ჩვენ ვიცით, რომ Cisco კონცენტრატორების ნაგულისხმევი Native VLAN არის VLAN1. არის თავდასხმები სახელწოდებით VLAN Hopping. დავუშვათ, რომ დიაგრამაზე მოცემული კომპიუტერი დაკავშირებულია პირველ გადამრთველთან ნაგულისხმევი მშობლიური ქსელით VLAN1, ხოლო ბოლო გადამრთველი დაკავშირებულია კომპიუტერთან VLAN10 ქსელით. გადამრთველებს შორის იქმნება საყრდენი.

როგორც წესი, როდესაც პირველი კომპიუტერიდან ტრაფიკი მიდის გადამრთველთან, მან იცის, რომ პორტი, რომელზეც ეს კომპიუტერი არის დაკავშირებული, არის VLAN1-ის ნაწილი. შემდეგ, ეს ტრაფიკი მიდის საბარგულში ორ გადამრთველს შორის, და პირველი გადამრთველი ასე ფიქრობს: „ეს ტრაფიკი მოვიდა Native VLAN-დან, ამიტომ არ მჭირდება მისი მონიშვნა“ და აგზავნის არატეგირებულ ტრაფიკს საბარგულის გასწვრივ, რომელიც მიდის მეორე გადამრთველზე.

Switch 2, რომელმაც მიიღო untagged ტრაფიკი, ასე ფიქრობს: ”რადგან ეს ტრაფიკი არ არის მონიშნული, ეს ნიშნავს, რომ ის ეკუთვნის VLAN1-ს, ამიტომ მე არ შემიძლია მისი გაგზავნა VLAN10-ზე.” შედეგად, პირველი კომპიუტერის მიერ გაგზავნილი ტრაფიკი ვერ აღწევს მეორე კომპიუტერს.

სინამდვილეში, ასე უნდა მოხდეს - VLAN1 ტრაფიკი არ უნდა მოხვდეს VLAN10-ში. ახლა წარმოვიდგინოთ, რომ პირველი კომპიუტერის უკან არის თავდამსხმელი, რომელიც ქმნის ჩარჩოს VLAN10 ტეგით და აგზავნის მას გადამრთველში. თუ გახსოვთ, როგორ მუშაობს VLAN, მაშინ თქვენ იცით, რომ თუ მონიშნული ტრაფიკი აღწევს გადამრთველს, ის არაფერს აკეთებს ჩარჩოსთან, არამედ უბრალოდ გადასცემს მას შემდგომში მაგისტრალის გასწვრივ. შედეგად, მეორე გადამრთველი მიიღებს ტრაფიკს ტეგით, რომელიც შეიქმნა თავდამსხმელის მიერ და არა პირველი გადამრთველის მიერ.

ეს ნიშნავს, რომ თქვენ ცვლით მშობლიურ VLAN-ს VLAN1-ის გარდა.

ვინაიდან მეორე გადამრთველმა არ იცის ვინ შექმნა VLAN10 ტეგი, ის უბრალოდ აგზავნის ტრაფიკს მეორე კომპიუტერზე. ასე ხდება VLAN Hopping შეტევა, როდესაც თავდამსხმელი შეაღწევს ქსელში, რომელიც თავდაპირველად მისთვის მიუწვდომელი იყო.

ასეთი შეტევების თავიდან ასაცილებლად, თქვენ უნდა შექმნათ Random VLAN, ან შემთხვევითი VLAN-ები, მაგალითად VLAN999, VLAN666, VLAN777 და ა.შ., რომელთა გამოყენება თავდამსხმელს საერთოდ არ შეუძლია. ამავდროულად, ჩვენ მივდივართ გადამრთველების მაგისტრალურ პორტებში და ვაკონფიგურირებთ მათ სამუშაოდ, მაგალითად, Native VLAN666-თან. ამ შემთხვევაში, ჩვენ ვცვლით Native VLAN-ს მაგისტრალური პორტებისთვის VLAN1-დან VLAN66-ზე, ანუ ვიყენებთ ნებისმიერ სხვა ქსელს VLAN1-ის გარდა, როგორც Native VLAN.

საბარგულის ორივე მხარეს პორტები უნდა იყოს კონფიგურირებული იმავე VLAN-ზე, წინააღმდეგ შემთხვევაში მივიღებთ VLAN ნომრის შეუსაბამობის შეცდომას.

ამ დაყენების შემდეგ, თუ ჰაკერი გადაწყვეტს განახორციელოს VLAN Hopping თავდასხმა, ის წარმატებას ვერ მიაღწევს, რადგან მშობლიური VLAN1 არ არის მინიჭებული გადამრთველების არცერთ საბარგულ პორტზე. ეს არის თავდასხმებისგან დაცვის მეთოდი არანაგულისხმევი მშობლიური VLAN-ების შექმნით.

გმადლობთ, რომ დარჩით ჩვენთან. მოგწონთ ჩვენი სტატიები? გსურთ ნახოთ უფრო საინტერესო შინაარსი? მხარი დაგვიჭირეთ შეკვეთის განთავსებით ან მეგობრებისთვის რეკომენდაციით, 30% ფასდაკლება Habr-ის მომხმარებლებისთვის საწყისი დონის სერვერების უნიკალურ ანალოგზე, რომელიც ჩვენ მიერ გამოგონილია თქვენთვის: მთელი სიმართლე VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps 20$-დან ან როგორ გავაზიარო სერვერი? (ხელმისაწვდომია RAID1 და RAID10-ით, 24 ბირთვამდე და 40 გბ-მდე DDR4).

Dell R730xd 2-ჯერ იაფია? Მხოლოდ აქ 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 ტელევიზორი $199-დან ნიდერლანდებში! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $99-დან! Წაიკითხო რაღაცის შესახებ როგორ ავაშენოთ ინფრასტრუქტურის კორპუსი. კლასი Dell R730xd E5-2650 v4 სერვერების გამოყენებით 9000 ევროს ღირებულების პენი?

წყარო: www.habr.com