怎么利用服務(wù)器的DHCP維護(hù)局域網(wǎng)安全
現(xiàn)在互聯(lián)網(wǎng)上的未知軟件和未知網(wǎng)頁(yè)很多都是帶病毒的，那么你知道怎么利用服務(wù)器的DHCP維護(hù)局域網(wǎng)安全嗎?下面是學(xué)習(xí)啦小編整理的一些關(guān)于怎么利用服務(wù)器的DHCP維護(hù)局域網(wǎng)安全的相關(guān)資料，供你參考。
利用服務(wù)器的DHCP維護(hù)局域網(wǎng)安全的方法：
安全維護(hù)思路
對(duì)于DHCP服務(wù)器來(lái)說(shuō)，DHCP監(jiān)聽(tīng)技術(shù)其實(shí)就是一種過(guò)濾DHCP報(bào)文的技術(shù)。通過(guò)在局域網(wǎng)的核心交換機(jī)中啟用DHCP監(jiān)聽(tīng)功能，可以將來(lái)自局域網(wǎng)中重 要主機(jī)或網(wǎng)絡(luò)設(shè)備的不可信任DHCP報(bào)文過(guò)濾掉，保證客戶(hù)端系統(tǒng)只能從經(jīng)過(guò)網(wǎng)絡(luò)管理員特別授權(quán)的可信任DHCP服務(wù)器那里獲得上網(wǎng)參數(shù)，那樣一來(lái)可信任的 DHCP服務(wù)器就不會(huì)受到非信任DHCP服務(wù)器的“干擾”，那么局域網(wǎng)的運(yùn)行安全性、穩(wěn)定性就能得到保證。比方說(shuō)，局域網(wǎng)中原先只有一臺(tái)可信任的DHCP 服務(wù)器，當(dāng)用戶(hù)不小心將自帶有DHCP服務(wù)功能的打印服務(wù)器接入到網(wǎng)絡(luò)后，那么打印服務(wù)器就會(huì)“搖身”變成一臺(tái)非信任的DHCP服務(wù)器，這時(shí)局域網(wǎng)中就會(huì) 同時(shí)存在兩臺(tái)DHCP服務(wù)器，那么普通的客戶(hù)端系統(tǒng)該從哪一臺(tái)DHCP服務(wù)器中獲得上網(wǎng)參數(shù)呢?為了保證客戶(hù)端系統(tǒng)能夠獲得合法上網(wǎng)參數(shù)，我們只要在交換 機(jī)上啟用了DHCP監(jiān)聽(tīng)功能，那么普通客戶(hù)端系統(tǒng)就會(huì)忽略打印服務(wù)器的存在，而會(huì)自動(dòng)向可信任的DHCP服務(wù)器去申請(qǐng)上網(wǎng)參數(shù)。
DHCP監(jiān)聽(tīng)功能在工作的時(shí)候，交換機(jī)會(huì)只允許客戶(hù)端用戶(hù)發(fā)送DCHP請(qǐng)求，同時(shí)會(huì)將類(lèi)似提供響應(yīng)的其他DCHP報(bào)文自動(dòng)丟棄掉，這么一來(lái)普通客戶(hù)端系統(tǒng) 只能從合法的DHCP服務(wù)器那里獲得有效的上網(wǎng)參數(shù);雖然非法的DHCP服務(wù)器也能夠?qū)蛻?hù)端系統(tǒng)的上網(wǎng)請(qǐng)求進(jìn)行響應(yīng)，但是交換機(jī)的DHCP監(jiān)聽(tīng)功能會(huì)將 非法DHCP服務(wù)器的提供響應(yīng)報(bào)文自動(dòng)丟棄掉，那么客戶(hù)端系統(tǒng)是無(wú)法接受到非法DHCP服務(wù)器的回復(fù)報(bào)文的。此外，通過(guò)DHCP監(jiān)聽(tīng)功能，交換機(jī)會(huì)將局域 網(wǎng)中的DHCP報(bào)文，自動(dòng)識(shí)別為可信任的DHCP報(bào)文和不可信任的DHCP報(bào)文，對(duì)于來(lái)自防火墻、外網(wǎng)設(shè)備或者沒(méi)有經(jīng)過(guò)網(wǎng)絡(luò)管理員授權(quán)的DHCP服務(wù)器發(fā) 送過(guò)來(lái)的DHCP報(bào)文，DHCP監(jiān)聽(tīng)功能會(huì)自動(dòng)將它識(shí)別為不可信任的DHCP報(bào)文，同時(shí)對(duì)這樣的報(bào)文執(zhí)行丟棄處理，那樣一來(lái)沒(méi)有授權(quán)的非信任DHCP服務(wù) 器就不會(huì)干擾局域網(wǎng)的安全運(yùn)行。
安全維護(hù)范圍
DHCP監(jiān)聽(tīng)技術(shù)在保護(hù)局域網(wǎng)的DHCP服務(wù)器運(yùn)行安全時(shí)，主要是通過(guò)過(guò)濾數(shù)據(jù)報(bào) 文的方式，來(lái)將DHCP服務(wù)器識(shí)別為信任端口或非信任端口的，對(duì)于來(lái)自信任端口的數(shù)據(jù)信息，交換機(jī)會(huì)允許其正常接受和發(fā)送，而對(duì)于來(lái)自非信任端口的數(shù)據(jù)信 息，交換機(jī)則不予響應(yīng)。具體的來(lái)說(shuō)，DHCP監(jiān)聽(tīng)技術(shù)的安全維護(hù)范圍主要表現(xiàn)在以下幾個(gè)方面：
1、預(yù)防地址沖突
DHCP監(jiān)聽(tīng)技 術(shù)可以防止非信任DHCP服務(wù)器通過(guò)地址沖突的方式，干擾信任DHCP服務(wù)器的工作穩(wěn)定性。在實(shí)際管理網(wǎng)絡(luò)的時(shí)候，我們經(jīng)常會(huì)發(fā)現(xiàn)在相同的工作子網(wǎng)中，可 能同時(shí)有多臺(tái)DHCP服務(wù)器存在，這其中有的是網(wǎng)絡(luò)管理員專(zhuān)門(mén)架設(shè)的，也有的是無(wú)意中接入到網(wǎng)絡(luò)中的。比方說(shuō)，ADSL撥號(hào)設(shè)備可能就內(nèi)置有DHCP服務(wù) 功能，一旦將該設(shè)備接入到局域網(wǎng)中后，那么該設(shè)備內(nèi)置的DHCP服務(wù)器就會(huì)自動(dòng)為客戶(hù)端系統(tǒng)分配IP地址。這個(gè)時(shí)候，經(jīng)過(guò)網(wǎng)絡(luò)管 理員授權(quán)的合法DHCP服 務(wù)器，就可能與ADSL撥號(hào)設(shè)備內(nèi)置的DHCP服務(wù)器發(fā)生地址上的沖突，從而可能會(huì)對(duì)整個(gè)局域網(wǎng)的安全性帶來(lái)威脅。這種威脅行為往往比較隱蔽，一時(shí)半會(huì)很 難找到。一旦使用了DHCP監(jiān)聽(tīng)技術(shù)，我們就可以在局域網(wǎng)的核心交換機(jī)后臺(tái)系統(tǒng)修改IP源綁定表中的參數(shù)，并以此綁定表作為每個(gè)上網(wǎng)端口接受數(shù)據(jù)包的檢測(cè) 過(guò)濾標(biāo)準(zhǔn)，來(lái)將沒(méi)有授權(quán)的DHCP服務(wù)器發(fā)送的數(shù)據(jù)報(bào)文自動(dòng)過(guò)濾掉，那樣一來(lái)就能有效預(yù)防非法DHCP服務(wù)器引起的地址沖突問(wèn)題了。
2、預(yù)防Dos攻擊
大家知道，一些非常陰險(xiǎn)的攻擊者往往會(huì)單獨(dú)使用Dos攻擊，襲擊局域網(wǎng)或網(wǎng)絡(luò)中的重要主機(jī)系統(tǒng);要是不幸遭遇Dos攻擊的話，那么局域網(wǎng)的寶貴帶寬資源 或重要主機(jī)的系統(tǒng)資源，就會(huì)被迅速消耗，輕則導(dǎo)致網(wǎng)絡(luò)傳輸速度緩慢或系統(tǒng)反應(yīng)遲鈍，重則出現(xiàn)癱瘓現(xiàn)象。而要是在核心交換機(jī)中使用了DHCP監(jiān)聽(tīng)技術(shù)的話， 那么局域網(wǎng)就可以有效抵御Dos攻擊了，因?yàn)镈os攻擊主要是用大量的連接請(qǐng)求沖擊局域網(wǎng)或重要主機(jī)系統(tǒng)，來(lái)消耗帶寬資源或系統(tǒng)資源的，而DHCP監(jiān)聽(tīng)技 術(shù)恰好具有報(bào)文限速功能，利用這個(gè)功能我們可以合理配置許可的每秒數(shù)據(jù)包流量，這樣就能實(shí)現(xiàn)抵御Dos攻擊的目的了。
3、及時(shí)發(fā)現(xiàn)隱患
大家知道，在默認(rèn)狀態(tài)下核心交換機(jī)會(huì)自動(dòng)對(duì)第二層Vlan域中的DHCP數(shù)據(jù)報(bào)文進(jìn)行攔截，具體地說(shuō)，就是在選用中級(jí)代理信息選項(xiàng)的情況下，交換機(jī)在將客 戶(hù)端的上網(wǎng)請(qǐng)求轉(zhuǎn)發(fā)給特定的DHCP服務(wù)器之前，它會(huì)自動(dòng)將端口號(hào)碼、入站模塊、MAC地址、Vlan號(hào)等信息插入到上網(wǎng)請(qǐng)求數(shù)據(jù)包中。這個(gè)時(shí)候，如果結(jié) 合接口跟蹤功能，DHCP監(jiān)聽(tīng)技術(shù)就能夠自動(dòng)跟蹤DHCP服務(wù)器中地址池里的所有上網(wǎng)地址，而不會(huì)受到單位局域網(wǎng)中跨網(wǎng)段訪問(wèn)的限制，這么一來(lái)就能及時(shí)發(fā) 現(xiàn)局域網(wǎng)中的一些安全隱患，對(duì)于跨網(wǎng)段的DHCP服務(wù)器運(yùn)行安全也能起到一定程度的防護(hù)作用。
4、控制非法接入
由于任何一種形 式的數(shù)據(jù)報(bào)文，都是通過(guò)交換端口完成發(fā)送與接收操作的，顯然交換端口的工作狀態(tài)與DHCP監(jiān)聽(tīng)的效果息息相關(guān)。一般來(lái)說(shuō)，我們會(huì)將網(wǎng)絡(luò)管理員授權(quán)的合法 DHCP服務(wù)器所連的交換端口設(shè)置為DHCP監(jiān)聽(tīng)信任端口，或者是將分布層交換機(jī)之間的上行鏈路端口設(shè)置為DHCP監(jiān)聽(tīng)信任端口。對(duì)于信任端口來(lái)說(shuō)，交換 機(jī)會(huì)允許它正常發(fā)送或接收所有的DHCP數(shù)據(jù)報(bào)文，這么一來(lái)交換機(jī)就會(huì)只允許合法的DHCP服務(wù)器對(duì)客戶(hù)端系統(tǒng)的上網(wǎng)請(qǐng)求進(jìn)行響應(yīng)，而非法的DHCP服務(wù) 器則不能向局域網(wǎng)發(fā)送或接收DHCP數(shù)據(jù)報(bào)文。很明顯，通過(guò)這種技術(shù)手段，就能控制非法的DHCP服務(wù)器接入到單位局域網(wǎng)中了。
安全維護(hù)配置
為了有效使用DHCP監(jiān)聽(tīng)功能，防護(hù)局域網(wǎng)的運(yùn)行安全，我們需要對(duì)該功能進(jìn)行正確配置，讓其按照實(shí)際安全運(yùn)行需求進(jìn)行工作。由于DHCP監(jiān)聽(tīng)功能主要是通 過(guò)建立端口信任關(guān)系實(shí)現(xiàn)數(shù)據(jù)過(guò)濾目的的，為此我們需要重點(diǎn)配置究竟哪些交換端口是信任端口，哪些交換端口是非信任端口。具體的說(shuō)，我們需要在交換機(jī)中進(jìn)行 下面幾項(xiàng)安全維護(hù)配置操作：
1、信任配置
這種配置主要就是在合法DHCP服務(wù)器所連交換端口上啟用信任，或者是在分布層或接入層交換機(jī)之間的互連端口上啟用信任。如果不對(duì)上述重要端口建立信任配 置，那么普通客戶(hù)端系統(tǒng)將無(wú)法正常從合法DHCP服務(wù)器那里接受到有效的上網(wǎng)參數(shù)。當(dāng)然，為了防止普通員工私下搭建DHCP服務(wù)器，威脅合法DHCP服務(wù) 器的運(yùn)行安全，我們有必要將普通客戶(hù)端系統(tǒng)所連的交換端口設(shè)置為非信任的 端口，那樣一來(lái)交換機(jī)會(huì)將來(lái)自客戶(hù)端系統(tǒng)的提供響應(yīng)報(bào)文自動(dòng)丟棄掉，此時(shí)局域網(wǎng)中 的其他客戶(hù)端系統(tǒng)不知道有這臺(tái)非法DHCP服務(wù)器的存在。
2、限速配置
為了防止Dos攻擊，我們需要將DHCP監(jiān)聽(tīng)功能自帶的 報(bào)文限速特性啟用起來(lái)，通過(guò)這個(gè)特性避免連續(xù)、大流量的數(shù)據(jù)攻擊，保證局域網(wǎng)的寶貴帶寬資源不會(huì)被迅速消耗，從而維護(hù)局域網(wǎng)的運(yùn)行安全性。很多時(shí)候，網(wǎng)絡(luò) 管理員都會(huì)在局域網(wǎng)中部署這樣或那樣的Dos防護(hù)工具，不過(guò)從實(shí)踐安全防護(hù)效果來(lái)看，我們建議大家還是啟用DHCP監(jiān)聽(tīng)技術(shù)的請(qǐng)求限速功能。在啟用這項(xiàng)功 能時(shí)，我們只要簡(jiǎn)單地執(zhí)行“IP Dhcp Snooping Limit Rate x”命令就可以了，其中“x”為具體的限速標(biāo)準(zhǔn)，該數(shù)值需要網(wǎng)絡(luò)管理員依照單位局域網(wǎng)的實(shí)際運(yùn)行情況來(lái)有針對(duì)性的配置。
3、代理配置
在局域網(wǎng)中存在多個(gè)Vlan的情況下，我們必須在交換機(jī)中啟用中級(jí)代理信息選項(xiàng)，也就是啟用82選項(xiàng)，才能保證DHCP監(jiān)聽(tīng)功能提供跨網(wǎng)段安全防護(hù)服務(wù)。 在DHCP監(jiān)聽(tīng)中啟用中級(jí)代理信息選項(xiàng)時(shí)，只要執(zhí)行“ip dhcp snooping information option”命令就可以了。
看過(guò)文章“怎么利用服務(wù)器的DHCP維護(hù)局域網(wǎng)安全”的人還看了：
1.如何設(shè)置系統(tǒng)權(quán)限防止病毒入侵
2.如何預(yù)防萬(wàn)惡的計(jì)算機(jī)病毒
8.如何防止電腦病毒