సిస్కో శిక్షణ 200-125 CCNA v3.0. 41వ రోజు: DHCP స్నూపింగ్ మరియు నాన్‌డిఫాల్ట్ స్థానిక VLAN

ఈ రోజు మనం రెండు ముఖ్యమైన అంశాలను పరిశీలిస్తాము: DHCP స్నూపింగ్ మరియు "నాన్-డిఫాల్ట్" స్థానిక VLANలు. పాఠానికి వెళ్లే ముందు, మా ఇతర YouTube ఛానెల్‌ని సందర్శించమని నేను మిమ్మల్ని ఆహ్వానిస్తున్నాను, అక్కడ మీరు మీ జ్ఞాపకశక్తిని ఎలా మెరుగుపరచుకోవాలనే దానిపై వీడియోను చూడవచ్చు. స్వీయ-అభివృద్ధి కోసం మేము చాలా ఉపయోగకరమైన చిట్కాలను పోస్ట్ చేస్తున్నందున, మీరు ఈ ఛానెల్‌కు సభ్యత్వాన్ని పొందాలని నేను సిఫార్సు చేస్తున్నాను.

ఈ పాఠం ICND1.7 అంశంలోని 1.7b మరియు 2c ఉపవిభాగాల అధ్యయనానికి అంకితం చేయబడింది. మేము DHCP స్నూపింగ్‌తో ప్రారంభించడానికి ముందు, మునుపటి పాఠాల నుండి కొన్ని అంశాలను గుర్తుంచుకోండి. నేను తప్పుగా భావించనట్లయితే, మేము 6వ రోజు మరియు 24వ రోజులో DHCP గురించి తెలుసుకున్నాము. అక్కడ, DHCP సర్వర్ ద్వారా IP చిరునామాల కేటాయింపు మరియు సంబంధిత సందేశాల మార్పిడికి సంబంధించిన ముఖ్యమైన అంశాలు చర్చించబడ్డాయి.

సాధారణంగా, తుది వినియోగదారు నెట్‌వర్క్‌లోకి లాగిన్ అయినప్పుడు, అది నెట్‌వర్క్‌కు ప్రసార అభ్యర్థనను పంపుతుంది, అది అన్ని నెట్‌వర్క్ పరికరాల ద్వారా "వినబడేది". ఇది నేరుగా DHCP సర్వర్‌కు కనెక్ట్ చేయబడి ఉంటే, అభ్యర్థన నేరుగా సర్వర్‌కు వెళుతుంది. నెట్వర్క్లో ప్రసార పరికరాలు ఉంటే - రౌటర్లు మరియు స్విచ్లు - అప్పుడు సర్వర్కు అభ్యర్థన వాటి ద్వారా వెళుతుంది. అభ్యర్థనను స్వీకరించిన తర్వాత, DHCP సర్వర్ వినియోగదారుకు ప్రతిస్పందిస్తుంది, అతను అతనికి IP చిరునామాను పొందమని అభ్యర్థనను పంపాడు, ఆ తర్వాత సర్వర్ వినియోగదారు పరికరానికి అటువంటి చిరునామాను జారీ చేస్తుంది. సాధారణ పరిస్థితుల్లో IP చిరునామాను పొందే ప్రక్రియ ఈ విధంగా జరుగుతుంది. రేఖాచిత్రంలోని ఉదాహరణ ప్రకారం, తుది వినియోగదారు చిరునామా 192.168.10.10 మరియు గేట్‌వే చిరునామా 192.168.10.1ని అందుకుంటారు. దీని తర్వాత, వినియోగదారు ఈ గేట్‌వే ద్వారా ఇంటర్నెట్‌ను యాక్సెస్ చేయగలరు లేదా ఇతర నెట్‌వర్క్ పరికరాలతో కమ్యూనికేట్ చేయగలరు.

నిజమైన DHCP సర్వర్‌తో పాటు, నెట్‌వర్క్‌లో మోసపూరిత DHCP సర్వర్ ఉందని అనుకుందాం, అంటే దాడి చేసే వ్యక్తి తన కంప్యూటర్‌లో DHCP సర్వర్‌ను ఇన్‌స్టాల్ చేస్తాడు. ఈ సందర్భంలో, వినియోగదారు, నెట్‌వర్క్‌లోకి ప్రవేశించిన తర్వాత, ప్రసార సందేశాన్ని కూడా పంపుతారు, ఇది రూటర్ మరియు స్విచ్ నిజమైన సర్వర్‌కు ఫార్వార్డ్ చేస్తుంది.

అయినప్పటికీ, రోగ్ సర్వర్ కూడా నెట్‌వర్క్‌ను "వింటుంది" మరియు ప్రసార సందేశాన్ని స్వీకరించిన తర్వాత, నిజమైన DHCP సర్వర్‌కు బదులుగా దాని స్వంత ఆఫర్‌తో వినియోగదారుకు ప్రతిస్పందిస్తుంది. దాన్ని స్వీకరించిన తర్వాత, వినియోగదారు తన సమ్మతిని ఇస్తారు, దాని ఫలితంగా అతను దాడి చేసే వ్యక్తి నుండి IP చిరునామాను అందుకుంటారు 192.168.10.2 మరియు గేట్‌వే చిరునామా 192.168.10.95.

IP చిరునామాను పొందే ప్రక్రియ DORAగా సంక్షిప్తీకరించబడింది మరియు 4 దశలను కలిగి ఉంటుంది: డిస్కవరీ, ఆఫర్, అభ్యర్థన మరియు రసీదు. మీరు చూడగలిగినట్లుగా, దాడి చేసే వ్యక్తి పరికరానికి అందుబాటులో ఉన్న నెట్‌వర్క్ చిరునామాల పరిధిలో ఉన్న చట్టపరమైన IP చిరునామాను ఇస్తాడు, కానీ నిజమైన గేట్‌వే చిరునామా 192.168.10.1కి బదులుగా, అతను దానిని 192.168.10.95 అనే నకిలీ చిరునామాతో “స్లిప్” చేస్తాడు. అంటే, అతని స్వంత కంప్యూటర్ చిరునామా.

దీని తర్వాత, ఇంటర్నెట్‌కు మళ్లించబడిన తుది వినియోగదారు ట్రాఫిక్ మొత్తం దాడి చేసేవారి కంప్యూటర్ గుండా వెళుతుంది. దాడి చేసే వ్యక్తి దానిని మరింతగా దారి మళ్లిస్తాడు మరియు వినియోగదారు ఈ కమ్యూనికేషన్ పద్ధతిలో ఎటువంటి తేడాను అనుభవించడు, ఎందుకంటే అతను ఇప్పటికీ ఇంటర్నెట్‌ను యాక్సెస్ చేయగలడు.

అదే విధంగా, ఇంటర్నెట్ నుండి తిరిగి వచ్చే ట్రాఫిక్ దాడి చేసే వ్యక్తి యొక్క కంప్యూటర్ ద్వారా వినియోగదారుకు ప్రవహిస్తుంది. దీన్నే సాధారణంగా మ్యాన్ ఇన్ మిడిల్ (MiM) దాడి అని పిలుస్తారు. వినియోగదారు ట్రాఫిక్ అంతా హ్యాకర్ కంప్యూటర్ గుండా వెళుతుంది, అతను పంపిన లేదా స్వీకరించిన ప్రతిదాన్ని చదవగలుగుతారు. ఇది DHCP నెట్‌వర్క్‌లపై జరిగే ఒక రకమైన దాడి.

రెండవ రకమైన దాడిని సేవా నిరాకరణ (DoS) లేదా "సేవ తిరస్కరణ" అంటారు. ఏం జరుగుతుంది? హ్యాకర్ యొక్క కంప్యూటర్ ఇకపై DHCP సర్వర్‌గా పని చేయదు, ఇది ఇప్పుడు దాడి చేసే పరికరం మాత్రమే. ఇది నిజమైన DHCP సర్వర్‌కు డిస్కవరీ అభ్యర్థనను పంపుతుంది మరియు ప్రతిస్పందనగా ఆఫర్ సందేశాన్ని అందుకుంటుంది, ఆపై సర్వర్‌కు అభ్యర్థనను పంపుతుంది మరియు దాని నుండి IP చిరునామాను అందుకుంటుంది. దాడి చేసేవారి కంప్యూటర్ ప్రతి కొన్ని మిల్లీసెకన్లకి ఇలా చేస్తుంది, ప్రతిసారీ కొత్త IP చిరునామా వస్తుంది.

సెట్టింగ్‌లపై ఆధారపడి, నిజమైన DHCP సర్వర్‌లో వందల లేదా అనేక వందల ఖాళీ IP చిరునామాలు ఉంటాయి. హ్యాకర్ యొక్క కంప్యూటర్ IP చిరునామాలను స్వీకరిస్తుంది .1, .2, .3, మొదలైన చిరునామాల పూల్ పూర్తిగా అయిపోయే వరకు. దీని తర్వాత, DHCP సర్వర్ నెట్‌వర్క్‌లోని కొత్త క్లయింట్‌లకు IP చిరునామాలను అందించదు. కొత్త వినియోగదారు నెట్‌వర్క్‌లోకి ప్రవేశించినట్లయితే, అతను ఉచిత IP చిరునామాను పొందలేడు. ఇది DHCP సర్వర్‌పై DoS దాడి యొక్క అంశం: కొత్త వినియోగదారులకు IP చిరునామాలను జారీ చేయకుండా నిరోధించడానికి.

అటువంటి దాడులను ఎదుర్కోవడానికి, DHCP స్నూపింగ్ భావన ఉపయోగించబడుతుంది. ఇది OSI లేయర్ XNUMX ఫంక్షన్, ఇది ACL లాగా పనిచేస్తుంది మరియు స్విచ్‌లపై మాత్రమే పని చేస్తుంది. DHCP స్నూపింగ్‌ని అర్థం చేసుకోవడానికి, మీరు రెండు కాన్సెప్ట్‌లను పరిగణించాలి: విశ్వసనీయ స్విచ్ యొక్క విశ్వసనీయ పోర్ట్‌లు మరియు ఇతర నెట్‌వర్క్ పరికరాల కోసం అవిశ్వసనీయ పోర్ట్‌లు.

విశ్వసనీయ పోర్ట్‌లు ఏ రకమైన DHCP సందేశాన్ని అయినా పాస్ చేయడానికి అనుమతిస్తాయి. అవిశ్వసనీయ పోర్ట్‌లు అంటే క్లయింట్‌లు కనెక్ట్ చేయబడిన పోర్ట్‌లు మరియు DHCP స్నూపింగ్ ఆ పోర్ట్‌ల నుండి వచ్చే ఏవైనా DHCP సందేశాలు విస్మరించబడతాయి.

మేము DORA ప్రక్రియను గుర్తుచేసుకుంటే, క్లయింట్ నుండి సర్వర్‌కు D సందేశం వస్తుంది మరియు సర్వర్ నుండి క్లయింట్‌కు O సందేశం వస్తుంది. తరువాత, క్లయింట్ నుండి సర్వర్‌కు R సందేశం పంపబడుతుంది మరియు సర్వర్ క్లయింట్‌కు A సందేశాన్ని పంపుతుంది.

అసురక్షిత పోర్ట్‌ల నుండి D మరియు R సందేశాలు ఆమోదించబడతాయి మరియు O మరియు A వంటి సందేశాలు విస్మరించబడతాయి. DHCP స్నూపింగ్ ఫంక్షన్ ప్రారంభించబడినప్పుడు, అన్ని స్విచ్ పోర్ట్‌లు డిఫాల్ట్‌గా అసురక్షితంగా పరిగణించబడతాయి. ఈ ఫంక్షన్ మొత్తం స్విచ్ కోసం మరియు వ్యక్తిగత VLANల కోసం ఉపయోగించవచ్చు. ఉదాహరణకు, VLAN10 పోర్ట్‌కు కనెక్ట్ చేయబడి ఉంటే, మీరు VLAN10 కోసం మాత్రమే ఈ ఫీచర్‌ని ప్రారంభించవచ్చు, ఆపై దాని పోర్ట్ అవిశ్వసనీయంగా మారుతుంది.

మీరు DHCP స్నూపింగ్‌ను ప్రారంభించినప్పుడు, మీరు సిస్టమ్ అడ్మినిస్ట్రేటర్‌గా, స్విచ్ సెట్టింగ్‌లలోకి వెళ్లి, సర్వర్‌తో సమానమైన పరికరాలకు కనెక్ట్ చేయబడిన పోర్ట్‌లు మాత్రమే అవిశ్వసనీయమైనవిగా పరిగణించబడే విధంగా పోర్ట్‌లను కాన్ఫిగర్ చేయాలి. దీని అర్థం DHCP మాత్రమే కాకుండా ఏదైనా రకమైన సర్వర్.
ఉదాహరణకు, మరొక స్విచ్, రూటర్ లేదా నిజమైన DHCP సర్వర్ పోర్ట్‌కి కనెక్ట్ చేయబడితే, ఈ పోర్ట్ విశ్వసనీయమైనదిగా కాన్ఫిగర్ చేయబడుతుంది. తుది వినియోగదారు పరికరాలు లేదా వైర్‌లెస్ యాక్సెస్ పాయింట్‌లు కనెక్ట్ చేయబడిన మిగిలిన స్విచ్ పోర్ట్‌లు తప్పనిసరిగా అసురక్షితంగా కాన్ఫిగర్ చేయబడాలి. అందువల్ల, వినియోగదారులు కనెక్ట్ చేయబడిన యాక్సెస్ పాయింట్ వంటి ఏదైనా పరికరం అవిశ్వసనీయ పోర్ట్ ద్వారా స్విచ్‌కి కనెక్ట్ అవుతుంది.

దాడి చేసే వ్యక్తి యొక్క కంప్యూటర్ స్విచ్‌కి O మరియు A రకం సందేశాలను పంపితే, అవి బ్లాక్ చేయబడతాయి, అంటే, అటువంటి ట్రాఫిక్ అవిశ్వసనీయ పోర్ట్ గుండా వెళ్ళదు. ఈ విధంగా DHCP స్నూపింగ్ పైన చర్చించిన దాడుల రకాలను నివారిస్తుంది.

అదనంగా, DHCP స్నూపింగ్ DHCP బైండింగ్ పట్టికలను సృష్టిస్తుంది. క్లయింట్ సర్వర్ నుండి IP చిరునామాను స్వీకరించిన తర్వాత, ఈ చిరునామా, దానిని స్వీకరించిన పరికరం యొక్క MAC చిరునామాతో పాటు, DHCP స్నూపింగ్ పట్టికలో నమోదు చేయబడుతుంది. క్లయింట్ కనెక్ట్ చేయబడిన అసురక్షిత పోర్ట్‌తో ఈ రెండు లక్షణాలు అనుబంధించబడతాయి.

ఉదాహరణకు, DoS దాడిని నివారించడానికి ఇది సహాయపడుతుంది. ఇచ్చిన MAC చిరునామాతో క్లయింట్ ఇప్పటికే IP చిరునామాను స్వీకరించినట్లయితే, దానికి కొత్త IP చిరునామా ఎందుకు అవసరం? ఈ సందర్భంలో, పట్టికలోని ఎంట్రీని తనిఖీ చేసిన తర్వాత అటువంటి చర్యలో ఏదైనా ప్రయత్నం వెంటనే నిరోధించబడుతుంది.
మేము చర్చించాల్సిన తదుపరి విషయం నాన్‌డిఫాల్ట్ లేదా "నాన్-డిఫాల్ట్" స్థానిక VLANలు. మేము ఈ నెట్‌వర్క్‌లకు 4 వీడియో పాఠాలను అంకితం చేస్తూ VLANల అంశంపై పదేపదే తాకుతున్నాము. ఇది ఏమిటో మీరు మరచిపోయినట్లయితే, ఈ పాఠాలను సమీక్షించమని నేను మీకు సలహా ఇస్తున్నాను.

సిస్కో స్విచ్‌లలో డిఫాల్ట్ స్థానిక VLAN VLAN1 అని మాకు తెలుసు. VLAN హోపింగ్ అనే దాడులు ఉన్నాయి. రేఖాచిత్రంలోని కంప్యూటర్ డిఫాల్ట్ స్థానిక నెట్‌వర్క్ VLAN1 ద్వారా మొదటి స్విచ్‌కి కనెక్ట్ చేయబడిందని మరియు చివరి స్విచ్ VLAN10 నెట్‌వర్క్ ద్వారా కంప్యూటర్‌కు కనెక్ట్ చేయబడిందని అనుకుందాం. స్విచ్‌ల మధ్య ఒక ట్రంక్ ఏర్పాటు చేయబడింది.

సాధారణంగా, మొదటి కంప్యూటర్ నుండి ట్రాఫిక్ స్విచ్ వద్దకు వచ్చినప్పుడు, ఈ కంప్యూటర్ కనెక్ట్ చేయబడిన పోర్ట్ VLAN1లో భాగమని దానికి తెలుసు. తర్వాత, ఈ ట్రాఫిక్ రెండు స్విచ్‌ల మధ్య ఉన్న ట్రంక్‌కి వెళుతుంది మరియు మొదటి స్విచ్ ఇలా అనుకుంటుంది: “ఈ ట్రాఫిక్ స్థానిక VLAN నుండి వచ్చింది, కాబట్టి నేను దాన్ని ట్యాగ్ చేయాల్సిన అవసరం లేదు,” మరియు ట్రంక్ వెంట ట్యాగ్ చేయని ట్రాఫిక్‌ను ఫార్వార్డ్ చేస్తుంది. రెండవ స్విచ్ వద్దకు వస్తుంది.

స్విచ్ 2, ట్యాగ్ చేయని ట్రాఫిక్‌ను స్వీకరించిన తర్వాత, ఇలా ఆలోచిస్తుంది: "ఈ ట్రాఫిక్ ట్యాగ్ చేయబడలేదు కాబట్టి, ఇది VLAN1కి చెందినదని అర్థం, కాబట్టి నేను దీన్ని VLAN10 ద్వారా పంపలేను." ఫలితంగా, మొదటి కంప్యూటర్ పంపిన ట్రాఫిక్ రెండవ కంప్యూటర్‌ను చేరుకోలేదు.

వాస్తవానికి, ఇది ఇలా జరగాలి - VLAN1 ట్రాఫిక్ VLAN10లోకి రాకూడదు. ఇప్పుడు మొదటి కంప్యూటర్ వెనుక VLAN10 ట్యాగ్‌తో ఫ్రేమ్‌ను సృష్టించి స్విచ్‌కు పంపే దాడి చేసే వ్యక్తి ఉన్నట్లు ఊహించుకుందాం. VLAN ఎలా పనిచేస్తుందో మీరు గుర్తుంచుకుంటే, ట్యాగ్ చేయబడిన ట్రాఫిక్ స్విచ్‌కు చేరుకుంటే, అది ఫ్రేమ్‌తో ఏమీ చేయదు, కానీ దానిని ట్రంక్ వెంట మరింతగా ప్రసారం చేస్తుందని మీకు తెలుసు. ఫలితంగా, రెండవ స్విచ్ మొదటి స్విచ్ ద్వారా కాకుండా దాడి చేసే వ్యక్తి సృష్టించిన ట్యాగ్‌తో ట్రాఫిక్‌ను అందుకుంటుంది.

మీరు స్థానిక VLANని VLAN1 కాకుండా వేరే దానితో భర్తీ చేస్తున్నారని దీని అర్థం.

రెండవ స్విచ్‌కు VLAN10 ట్యాగ్‌ను ఎవరు సృష్టించారో తెలియదు కాబట్టి, ఇది కేవలం రెండవ కంప్యూటర్‌కు ట్రాఫిక్‌ను పంపుతుంది. VLAN హోపింగ్ అటాక్ ఈ విధంగా జరుగుతుంది, దాడి చేసే వ్యక్తి అతనికి మొదట్లో అందుబాటులో లేని నెట్‌వర్క్‌లోకి ప్రవేశించినప్పుడు.

అటువంటి దాడులను నిరోధించడానికి, మీరు యాదృచ్ఛిక VLAN లేదా యాదృచ్ఛిక VLANలను సృష్టించాలి, ఉదాహరణకు VLAN999, VLAN666, VLAN777, మొదలైనవి, వీటిని దాడి చేసేవారు ఉపయోగించలేరు. అదే సమయంలో, మేము స్విచ్‌ల ట్రంక్ పోర్ట్‌లకు వెళ్లి వాటిని పని చేయడానికి కాన్ఫిగర్ చేస్తాము, ఉదాహరణకు, స్థానిక VLAN666 తో. ఈ సందర్భంలో, మేము ట్రంక్ పోర్ట్‌ల కోసం స్థానిక VLANని VLAN1 నుండి VLAN66కి మారుస్తాము, అంటే VLAN1 కాకుండా వేరే ఏదైనా నెట్‌వర్క్‌ని స్థానిక VLANగా ఉపయోగిస్తాము.

ట్రంక్ యొక్క రెండు వైపులా ఉన్న పోర్ట్‌లు తప్పనిసరిగా ఒకే VLANకి కాన్ఫిగర్ చేయబడాలి, లేకుంటే మేము VLAN నంబర్ సరిపోలని లోపాన్ని అందుకుంటాము.

ఈ సెటప్ తర్వాత, హ్యాకర్ VLAN హోపింగ్ దాడిని నిర్వహించాలని నిర్ణయించుకుంటే, అతను విజయవంతం కాలేడు, ఎందుకంటే స్థానిక VLAN1 స్విచ్‌ల ట్రంక్ పోర్ట్‌లలో దేనికీ కేటాయించబడలేదు. ఇది డిఫాల్ట్ కాని స్థానిక VLANలను సృష్టించడం ద్వారా దాడుల నుండి రక్షించే పద్ధతి.

మాతో ఉన్నందుకు ధన్యవాదాలు. మీరు మా కథనాలను ఇష్టపడుతున్నారా? మరింత ఆసక్తికరమైన కంటెంట్‌ని చూడాలనుకుంటున్నారా? ఆర్డర్ చేయడం ద్వారా లేదా స్నేహితులకు సిఫార్సు చేయడం ద్వారా మాకు మద్దతు ఇవ్వండి, మీ కోసం మేము కనిపెట్టిన ఎంట్రీ-లెవల్ సర్వర్‌ల యొక్క ప్రత్యేకమైన అనలాగ్‌పై Habr వినియోగదారులకు 30% తగ్గింపు: $5 నుండి VPS (KVM) E2650-4 v6 (10 కోర్లు) 4GB DDR240 1GB SSD 20Gbps గురించి పూర్తి నిజం లేదా సర్వర్‌ను ఎలా భాగస్వామ్యం చేయాలి? (RAID1 మరియు RAID10తో అందుబాటులో ఉంది, గరిష్టంగా 24 కోర్లు మరియు 40GB DDR4 వరకు).

Dell R730xd 2 రెట్లు తక్కువ? ఇక్కడ మాత్రమే $2 నుండి 2 x ఇంటెల్ టెట్రాడెకా-కోర్ జియాన్ 5x E2697-3v2.6 14GHz 64C 4GB DDR4 960x1GB SSD 100Gbps 199 TV నెదర్లాండ్స్‌లో! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $99 నుండి! గురించి చదవండి ఇన్‌ఫ్రాస్ట్రక్చర్ కార్పొరేషన్‌ను ఎలా నిర్మించాలి. ఒక పెన్నీకి 730 యూరోల విలువైన Dell R5xd E2650-4 v9000 సర్వర్‌ల వాడకంతో తరగతి?

మూలం: www.habr.com