配置 DHCP 监听

Crq
Crq
Crq
218
文章
0
评论
2020年11月30日21:50:36
评论
1,3191 3206字阅读10分41秒

 

 

【实验名称】
配置DHCP 监听(DHCP Snooping)。
【实验目的】
使用交换机的DHCP 监听功能增强网络安全性。
【背景描述】
某企业网络,为了减小网络编址的复杂性和手工配置IP 地址的工作量,使
用了DHCP 为网络中的设备分配IP 地址。但网络管理员发现最近经常有员工抱
怨无法访问网络资源,经过故障排查后,发现客户端PC 通过DHCP 获得了错误
的IP 地址,从该现象可以判断出网络中可能出现了DHCP 攻击,有人私自架设
了DHCP 服务器(伪DHCP 服务器)导致客户端PC 不能获得正确的IP 地址信
息,以至不能够访问网络资源。
【需求分析】
对于网络中出现非法DHCP 服务器的问题,需要防止其为客户端分配IP 地
址,仅允许合法的DHCP 服务器提供服务。交换机的DHCP 监听特性可以满足这
个要求,阻止非法服务器为客户端分配IP 地址。
【实验拓扑】
配置 DHCP 监听
【预备知识】
交换机转发原理、交换机基本配置、DHCP 监听原理。
【实验原理】
交换机的DHCP 监听特性可以通过过滤网络中接入的伪DHCP(非法的、不
可信的)发送的DHCP 报文增强网络安全性。DHCP 监听还可以检查DHCP 客户
端发送的DHCP 报文的合法性,防止DHCP DoS 攻击。
【实验步骤】
步骤 1 SW2 基本配置。

Switch#configure
Switch(config)#hostname SW2
SW2 (config)#vlan 2
SW2 (config-vlan)#exit
SW2 (config)#interface range fastEthernet 0/1-2
SW2 (config-if-range)#switchport access vlan 2
SW2 (config)#interface fastEthernet 0/24
SW2 (config-if)#switchport mode trunk
SW2 (config-if)#end
SW2#

如果用EVE做实验 (因为EVE一般懒人版只有三层交换机和路由)当遇到

输入 Switch(config-if)#swicthport mode trunk 想改变端口为trunk 模式时 报出错误

Command rejected: An interface whose trunk encapsulation is "Auto" can not be configured to "trunk" mode.

(中文:命令被拒绝:接口的中继封装是“自动”不能被配置的“主干”模式。)

只需要 像单臂路由一样 给端口封装一个 接口封装协议。如下命令

SW2(config-if)#switchport trunk encapsulation dot1q

于是就解决问题了 开启了虚拟链路

 

还有就是记得开启端口

SW2 (config-if)#no shutdown

 

步骤 2 SW1 基本配置和OSPF配置。

Switch#configure
Switch(config)#hostname SW1
SW1 (config)#interface fastEthernet 0/24
SW1 (config-if)#switchport mode trunk
SW1 (config-if)#exit
SW1 (config)#vlan 2
SW1 (config-vlan)#exit
SW1 (config)#interface vlan 2
SW1 (config-if)#ip address 172.16.1.1 255.255.255.0
SW1 (config-if)#exit
SW1 (config)#vlan 100
SW1 (config-vlan)#exit
SW1 (config)#interface vlan 100
SW1 (config-if)#ip address 10.1.1.2 255.255.255.0
SW1 (config-if)#exit
SW1 (config)#interface fastEthernet 0/1
SW1 (config-if)#switchport access vlan 100
SW1 (config-if)#exit
SW1 (config)#router ospf1
SW1 (config-router)#network 10.1.1.0 0.0.0.255 area 0
SW1 (config-router)#network 172.16.1.0 0.0.0.255 area 0
SW1 (config-router)#exit

步骤3 将SW1 配置为DHCP Relay。

SW1#configure
SW1 (config)#service dhcp
SW1 (config)#ip helper-address 10.1.1.1
SW1 (config)#end

!配置DHCP 中继,指明DHCP 服务器地址

ip helper-address 这个命令跟思科跟锐捷不一样 锐捷可以在全局下配置,思科要进接口或者VLAN配置,所以 ip helper-address 这个命令在PC1的VLAN下配置也就是VLAN 2

步骤4 配置 DHCP 服务器。
将1台PC 配置为DHCP 伪服务器,将一台路由器用作合法DHCP服务器。
合法DHCP 服务器中的地址池为172.16.1.0/24,伪DHCP 服务器的地址池为
1.1.1.0/24。
DHCP server R1配置如下:

ruijie(config)#hostname R1
R1(config)#interfacefastEthernet 0/1
R1 (config-if)#ip addr 10.1.1.1 255.255.255.0
R1 (config-if)#no shutdown
R1 (config-if)#exit
R1(config)#router ospf 1
R1 (config-router)#network 10.1.1.0 0.0.0.255 area 0
R1 (config-router)#exit
R1(config)#service dhcp
R1(config)#ip dhcp pool v2
R1(dhcp-config)#network 172.16.1.0 255.255.255.0
R1(dhcp-config)#default-router 172.16.1.1
R1(dhcp-config)#lease 0 3 0
R1(dhcp-config)#exit
R1(config)#ip dhcp excluded-address 172.16.1.1

步骤 5 验证测试。
确保两台DHCP 服务器可以正常工作。将客户端PC 配置为自动获取地址后,
接入交换机端口,此时可以看到客户端从伪DHCP 服务器获得了错误的地址,如
配置 DHCP 监听

步骤 6 在 SW1 上配置 DHCP 监听。

SW1#configure
SW1 (config)#ip dhcp snooping
!开启DHCP snooping 功能
SW1 (config)#interface fastEthernet 0/1
SW1 (config-if)#ip dhcp snooping trust
!配置F0/1 为trust 端口
SW1 (config-if)#exit
SW1 (config)#interface fastEthernet 0/24
SW1 (config-if)#ip dhcp snooping trust
!配置F0/24 为trust 端口
SW1 (config-if)#end
SW1#

步骤 7 在 SW2 上配置 DHCP 监听。

SW2#configure
SW2 (config)#ip dhcp snooping
SW2 (config)#interface fastEthernet 0/24
SW2 (config-if)#ip dhcp snooping trust
SW2 (config-if)#end
SW2#

步骤 8 验证测试。
将客户端之前获得的错误IP 地址释放(使用Windows 命令行ipconfig
/release),再使用ipconfig /renew 重新获取地址,可以看到客户端获取到了
正确的IP 地址

配置 DHCP 监听
DHCP 监听只能配置在物理端口上,不能配置在VLAN 接口上。

 

weinxin
我的微信
这是我的微信扫一扫
Crq
  • 本文由 发表于 2020年11月30日21:50:36
  • 转载请注明:https://www.cncrq.com/8878.html
匿名

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: