시스코 교육 200-125 CCNA v3.0. 41일차: DHCP 스누핑 및 기본이 아닌 기본 VLAN

오늘은 DHCP 스누핑과 "비기본" 기본 VLAN이라는 두 가지 중요한 주제를 살펴보겠습니다. 수업을 시작하기 전에 기억력 향상 방법에 대한 동영상을 시청할 수 있는 다른 YouTube 채널을 방문하시기 바랍니다. 자기계발을 위한 유용한 팁이 많이 게시되어 있으므로 이 채널을 구독하는 것이 좋습니다.

이 수업은 ICND1.7 주제의 하위 섹션 1.7b 및 2c를 연구하는 데 전념합니다. DHCP 스누핑을 시작하기 전에 이전 강의의 몇 가지 사항을 기억해 보겠습니다. 제가 착각한 것이 아니라면, 우리는 6일차와 24일차에 DHCP에 대해 배웠습니다. 여기서는 DHCP 서버에 의한 IP 주소 할당 및 해당 메시지 교환과 관련된 중요한 문제가 논의되었습니다.

일반적으로 최종 사용자가 네트워크에 로그인하면 모든 네트워크 장치가 "듣는" 네트워크에 브로드캐스트 요청을 보냅니다. DHCP 서버에 직접 연결된 경우 요청은 서버로 직접 전달됩니다. 네트워크에 전송 장치(라우터 및 스위치)가 있는 경우 서버에 대한 요청은 이를 통과합니다. 요청을 받은 DHCP 서버는 사용자에게 응답하여 IP 주소를 얻으라는 요청을 보낸 후 서버는 해당 주소를 사용자의 장치에 발급합니다. 이는 정상적인 조건에서 IP 주소를 얻는 프로세스가 진행되는 방식입니다. 다이어그램의 예에 따르면 최종 사용자는 주소 192.168.10.10과 게이트웨이 주소 192.168.10.1을 받게 됩니다. 이후 사용자는 이 게이트웨이를 통해 인터넷에 접속하거나 다른 네트워크 장치와 통신할 수 있습니다.

실제 DHCP 서버 외에도 네트워크에 사기성 DHCP 서버가 있다고 가정해 보겠습니다. 즉, 공격자는 단순히 자신의 컴퓨터에 DHCP 서버를 설치합니다. 이 경우, 네트워크에 들어간 사용자는 브로드캐스트 메시지도 보내며, 라우터와 스위치는 이를 실제 서버로 전달합니다.

그러나 불량 서버도 네트워크를 "수신"하고 브로드캐스트 메시지를 수신한 후 실제 DHCP 서버 대신 자체 제안으로 사용자에게 응답합니다. 이를 수신한 사용자는 동의하게 되며, 그 결과 공격자 192.168.10.2로부터 IP 주소와 게이트웨이 주소 192.168.10.95를 받게 됩니다.

IP 주소를 얻는 과정은 DORA로 축약되며 검색(Discovery), 제안(Offer), 요청(Request) 및 승인(Acknowledgement)의 4단계로 구성됩니다. 보시다시피, 공격자는 사용 가능한 네트워크 주소 범위에 있는 합법적인 IP 주소를 장치에 제공하지만 실제 게이트웨이 주소 192.168.10.1 대신 가짜 주소 192.168.10.95로 "슬립"합니다. 즉, 자신의 컴퓨터 주소입니다.

그 후에는 인터넷으로 전달되는 모든 최종 사용자 트래픽이 공격자의 컴퓨터를 통과하게 됩니다. 공격자는 이를 추가로 리디렉션할 것이며 사용자는 여전히 인터넷에 액세스할 수 있기 때문에 이 통신 방법에 아무런 차이를 느끼지 못할 것입니다.

같은 방식으로 인터넷에서 반환되는 트래픽은 공격자의 컴퓨터를 통해 사용자에게 전달됩니다. 이것이 흔히 MiM(Man in the Middle) 공격이라고 불리는 공격입니다. 모든 사용자 트래픽은 해커의 컴퓨터를 통과하며, 해커는 그가 보내거나 받는 모든 내용을 읽을 수 있습니다. 이는 DHCP 네트워크에서 발생할 수 있는 공격 유형 중 하나입니다.

두 번째 유형의 공격은 서비스 거부(DoS) 또는 "서비스 거부"라고 합니다. 무슨 일이야? 해커의 컴퓨터는 더 이상 DHCP 서버 역할을 하지 않으며 이제 단지 공격 장치일 뿐입니다. 실제 DHCP 서버에 Discovery 요청을 보내고 그에 대한 응답으로 Offer 메시지를 받은 후, 서버에 Request를 보내고 서버로부터 IP 주소를 받습니다. 공격자의 컴퓨터는 새 IP 주소를 받을 때마다 몇 밀리초마다 이 작업을 수행합니다.

설정에 따라 실제 DHCP 서버에는 수백 또는 수백 개의 빈 IP 주소 풀이 있습니다. 해커의 컴퓨터는 주소 풀이 완전히 소진될 때까지 IP 주소 .1, .2, .3 등을 수신합니다. 이후에는 DHCP 서버가 네트워크의 새 클라이언트에 IP 주소를 제공할 수 없습니다. 새로운 사용자가 네트워크에 접속하면 무료 IP 주소를 얻을 수 없습니다. DHCP 서버에 대한 DoS 공격의 핵심은 DHCP 서버가 새로운 사용자에게 IP 주소를 발급하는 것을 방지하는 것입니다.

이러한 공격에 대응하기 위해 DHCP Snooping이라는 개념이 사용됩니다. 이는 ACL처럼 작동하고 스위치에서만 작동하는 OSI 계층 XNUMX 기능입니다. DHCP 스누핑을 이해하려면 신뢰할 수 있는 스위치의 신뢰할 수 있는 포트와 다른 네트워크 장치의 신뢰할 수 없는 신뢰할 수 없는 포트라는 두 가지 개념을 고려해야 합니다.

신뢰할 수 있는 포트는 모든 유형의 DHCP 메시지 통과를 허용합니다. 신뢰할 수 없는 포트는 클라이언트가 연결되는 포트이며, DHCP 스누핑은 해당 포트에서 들어오는 모든 DHCP 메시지가 삭제되도록 만듭니다.

DORA 프로세스를 떠올려 보면 메시지 D는 클라이언트에서 서버로 전달되고 메시지 O는 서버에서 클라이언트로 전달됩니다. 다음으로, 메시지 R이 클라이언트에서 서버로 전송되고, 서버는 메시지 A를 클라이언트로 보냅니다.

보안되지 않은 포트의 메시지 D 및 R은 허용되고 O 및 A와 같은 메시지는 삭제됩니다. DHCP 스누핑 기능이 활성화되면 기본적으로 모든 스위치 포트는 안전하지 않은 것으로 간주됩니다. 이 기능은 스위치 전체와 개별 VLAN 모두에 사용할 수 있습니다. 예를 들어 VLAN10이 포트에 연결된 경우 VLAN10에 대해서만 이 기능을 활성화할 수 있으며 그러면 해당 포트는 신뢰할 수 없게 됩니다.

DHCP 스누핑을 활성화하면 시스템 관리자는 스위치 설정으로 이동하여 서버와 유사한 장치가 연결된 포트만 신뢰할 수 없는 것으로 간주되도록 포트를 구성해야 합니다. 이는 DHCP뿐만 아니라 모든 유형의 서버를 의미합니다.
예를 들어, 다른 스위치, 라우터 또는 실제 DHCP 서버가 포트에 연결된 경우 이 포트는 신뢰할 수 있는 포트로 구성됩니다. 최종 사용자 장치 또는 무선 액세스 포인트가 연결되는 나머지 스위치 포트는 비보안으로 구성되어야 합니다. 따라서 사용자가 연결된 액세스 포인트와 같은 모든 장치는 신뢰할 수 없는 포트를 통해 스위치에 연결됩니다.

공격자의 컴퓨터가 O 및 A 유형의 메시지를 스위치로 보내면 해당 메시지는 차단됩니다. 즉, 해당 트래픽은 신뢰할 수 없는 포트를 통과할 수 없습니다. 이것이 DHCP 스누핑이 위에서 설명한 공격 유형을 방지하는 방법입니다.

또한 DHCP 스누핑은 DHCP 바인딩 테이블을 생성합니다. 클라이언트가 서버로부터 IP 주소를 수신한 후 이 주소는 이를 수신한 장치의 MAC 주소와 함께 DHCP 스누핑 테이블에 입력됩니다. 이 두 가지 특성은 클라이언트가 연결되는 비보안 포트와 연관됩니다.

예를 들어 이는 DoS 공격을 방지하는 데 도움이 됩니다. 특정 MAC 주소를 가진 클라이언트가 이미 IP 주소를 받은 경우 새 IP 주소가 필요한 이유는 무엇입니까? 이 경우, 테이블의 항목을 확인한 후 해당 행위에 대한 모든 시도가 즉시 차단됩니다.
다음으로 논의해야 할 사항은 기본이 아닌 또는 "기본이 아닌" 기본 VLAN입니다. 우리는 VLAN 주제를 반복적으로 다루면서 이러한 네트워크에 대한 4개의 비디오 강의를 진행했습니다. 이것이 무엇인지 잊어버렸다면 이 강의를 복습하시기 바랍니다.

Cisco 스위치에서는 기본 기본 VLAN이 VLAN1이라는 것을 알고 있습니다. VLAN Hopping이라는 공격이 있습니다. 다이어그램의 컴퓨터가 기본 기본 네트워크 VLAN1을 통해 첫 번째 스위치에 연결되고 마지막 스위치가 VLAN10 네트워크를 통해 컴퓨터에 연결되어 있다고 가정해 보겠습니다. 스위치 사이에 트렁크가 설정됩니다.

일반적으로 첫 번째 컴퓨터의 트래픽이 스위치에 도착하면 이 컴퓨터가 연결된 포트가 VLAN1의 일부라는 것을 알게 됩니다. 다음으로, 이 트래픽은 두 스위치 사이의 트렁크로 이동하며 첫 번째 스위치는 "이 트래픽은 Native VLAN에서 왔으므로 태그를 지정할 필요가 없습니다"라고 생각하고 태그가 지정되지 않은 트래픽을 트렁크를 따라 전달합니다. 두 번째 스위치에 도착합니다.

태그가 지정되지 않은 트래픽을 수신한 스위치 2는 "이 트래픽은 태그가 지정되지 않았으므로 VLAN1에 속한다는 의미이므로 VLAN10을 통해 보낼 수 없습니다."라고 생각합니다. 결과적으로 첫 번째 컴퓨터에서 보낸 트래픽은 두 번째 컴퓨터에 도달할 수 없습니다.

실제로는 이런 일이 발생해야 합니다. 즉, VLAN1 트래픽이 VLAN10으로 유입되어서는 안 됩니다. 이제 첫 번째 컴퓨터 뒤에 VLAN10 태그가 포함된 프레임을 생성하여 스위치로 보내는 공격자가 있다고 가정해 보겠습니다. VLAN의 작동 방식을 기억한다면 태그가 지정된 트래픽이 스위치에 도달하면 프레임에 아무 작업도 수행하지 않고 단순히 트렁크를 따라 더 멀리 전송한다는 것을 알 수 있습니다. 결과적으로 두 번째 스위치는 첫 번째 스위치가 아닌 공격자가 생성한 태그가 포함된 트래픽을 수신하게 됩니다.

이는 기본 VLAN을 VLAN1이 아닌 다른 것으로 교체한다는 의미입니다.

두 번째 스위치는 누가 VLAN10 태그를 생성했는지 모르기 때문에 단순히 트래픽을 두 번째 컴퓨터로 보냅니다. 이는 공격자가 처음에는 액세스할 수 없었던 네트워크에 침투할 때 VLAN 호핑 공격이 발생하는 방식입니다.

이러한 공격을 방지하려면 공격자가 전혀 사용할 수 없는 임의 VLAN 또는 VLAN999, VLAN666, VLAN777 등과 같은 임의 VLAN을 생성해야 합니다. 동시에 스위치의 트렁크 포트로 이동하여 기본 VLAN666과 같이 작동하도록 구성합니다. 이 경우 트렁크 포트의 기본 VLAN을 VLAN1에서 VLAN66으로 변경합니다. 즉, VLAN1 이외의 모든 네트워크를 기본 VLAN으로 사용합니다.

트렁크 양쪽의 포트는 동일한 VLAN으로 구성되어야 합니다. 그렇지 않으면 VLAN 번호 불일치 오류가 발생합니다.

이 설정 후에 해커가 VLAN 호핑 공격을 수행하기로 결정하면 기본 VLAN1이 스위치의 트렁크 포트에 할당되지 않기 때문에 성공하지 못할 것입니다. 이는 기본이 아닌 기본 VLAN을 생성하여 공격으로부터 보호하는 방법입니다.

우리와 함께있어 주셔서 감사합니다. 우리 기사가 마음에 드십니까? 더 재미있는 콘텐츠를 보고 싶다면? 주문하거나 친구에게 추천하여 우리를 지원하십시오. 귀사를 위해 당사가 개발한 고유한 보급형 서버 아날로그에서 Habr 사용자를 위한 30% 할인: VPS(KVM) E5-2650 v4(6코어) 10GB DDR4 240GB SSD 1Gbps에 대한 전체 진실 또는 서버 공유 방법은? (RAID1 및 RAID10에서 사용 가능, 최대 24개 코어 및 최대 40GB DDR4).

Dell R730xd가 2배 더 저렴합니까? 여기서 만 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV $199부터 네덜란드에서! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - 최저 $99! 에 대해 읽다 인프라 공사를 구축하는 방법. 730페니에 5유로 상당의 Dell R2650xd E4-9000 vXNUMX 서버를 사용하는 클래스?

출처 : habr.com