在思科交换机上防范典型的欺骗和二层攻击

来源：vlan9收集作者：出处：巧巧读书 2007-12-23 进入讨论组

1. MAC/CAM攻击的防范
1.1MAC/CAM攻击的原理和危害
1.2典型的病毒利用MAC/CAM攻击案例
1.3使用 Port Security feature 防范MAC/CAM攻击
1.4配置
1.5使用其它技术防范MAC/CAM攻击

2. DHCP攻击的防范
2.1采用DHCP管理的常见问题：
2.2DHCP Snooping技术概况
2.3基本防范
2.4高级防范

3. ARP欺骗/ MITM(Man-In-The-Middle)攻击原理和防范
3.1 MITM(Man-In-The-Middle)攻击原理
3.2攻击实例
3.3防范方法
3.4配置示例
3.5配置DAI后的效果：

4. IP/MAC欺骗的防范
4．1常见的欺骗攻击的种类和目的
4.2攻击实例
4.3IP/MAC欺骗的防范
4.4配置示例：

5. IP地址管理和病毒防范的新思路
5.1IP地址管理
5.2使用DHCP Snooping 、DAI、IP Source Guard技术能解决的有关病毒问题

本文所提到的攻击和欺骗行为主要针对链路层和网络层。在网络实际环境中，其来源可概括为两个途径：人为实施；病毒或蠕虫。人为实施通常是指使用一些黑客的工具对网络进行扫描和嗅探，获取管理帐户和相关密码，在网络上中安插木马，从而进行进一步窃取机密文件。攻击和欺骗过程往往比较隐蔽和安静，但对于信息安全要求高的企业危害是极大的。而来自木马或者病毒及蠕虫的攻击和往往会偏离攻击和欺骗本身的目的，现象有时非常直接，会带来网络流量加大、设备 CPU 利用率过高、二层生成树环路直至网络瘫痪。

目前这类攻击和欺骗工具已经非常成熟和易用，而目前企业在部署这方面的防范还存在很多不足，有很多工作要做。思科针对这类攻击已有较为成熟的解决方案，主要基于下面的几个关键的技术：

• Port Security feature

• DHCP Snooping

• Dynamic ARP Inspection (DAI)

• IP Source Guard

下面部分主要针对目前非常典型的二层攻击和欺骗说明如何在思科交换机上组合运用和部署上述技术，从而实现防止在交换环境中实施“中间人”攻击、 MAC/CAM 攻击、 DHCP 攻击、地址欺骗等，更具意义的是通过上面技术的部署可以简化地址管理，直接跟踪用户 IP 和对应的交换机端口；防止 IP 地址冲突。同时对于大多数对二层网络造成很大危害的具有地址扫描、欺骗等特征的病毒可以有效的报警和隔离。