Mục lục:
I. Giới thiệu
1. DHCP Snooping2. Dynamic ARP Inspection (DAI)
II. Cấu hình
1. Cấu hình DHCP Snooping2. Cấu hình ARP Inspection (DAI)
3. Tích hợp DHCP Snooping và ARP Inspection
III. Kết luận
Tài liệu tham khảo
I. Giới thiệu
1. DHCP Snooping
Định nghĩa và chức năng: DHCP Snooping là một biện pháp bảo mật mạng được triển khai trên các switch lớp 2 để ngăn chặn các máy chủ DHCP giả mạo và loại bỏ lưu lượng DHCP độc hại hoặc bị biến dạng. Nó giúp bảo vệ cơ sở hạ tầng DHCP bằng cách giám sát và kiểm soát lưu lượng DHCP giữa các máy khách và máy chủ.
Cách hoạt động của DHCP Snooping:
DHCP Snooping hoạt động bằng cách phân loại các cổng trên switch thành hai loại: cổng tin cậy và cổng không tin cậy. Các cổng tin cậy thường kết nối với các máy chủ DHCP hợp lệ, trong khi các cổng không tin cậy kết nối với các thiết bị đầu cuối như PC và laptop.
- Cổng tin cậy: Cho phép các thông điệp DHCP như DHCPOFFER và DHCPACK từ các nguồn đáng tin cậy.
- Cổng không tin cậy: Chỉ cho phép các thông điệp DHCP như DHCPDISCOVER và DHCPREQUEST từ các máy khách. Nếu các thông điệp DHCPOFFER và DHCPACK xuất phát từ cổng không tin cậy, chúng sẽ bị loại bỏ.
2. Dynamic ARP Inspection (DAI)
Định nghĩa và chức năng: Dynamic ARP Inspection (DAI) là một tính năng bảo mật giúp bảo vệ mạng khỏi các cuộc tấn công ARP spoofing. DAI kiểm tra các gói ARP trên các cổng không tin cậy và so sánh thông tin trong gói ARP với cơ sở dữ liệu DHCP Snooping hoặc danh sách kiểm tra ARP (ARP access-list). Nếu thông tin không khớp, gói sẽ bị loại bỏ.
Cách hoạt động của DAI:
DAI hoạt động bằng cách xác thực các gói ARP dựa trên cơ sở dữ liệu DHCP Snooping hoặc các cấu hình tĩnh. Dưới đây là các bước cơ bản:
- Phân loại cổng: Các cổng trên switch được phân loại thành cổng tin cậy và cổng không tin cậy. Các cổng tin cậy thường kết nối với các thiết bị như máy chủ DHCP, trong khi các cổng không tin cậy kết nối với các thiết bị đầu cuối như PC và laptop2.
- Kiểm tra gói ARP: Khi một gói ARP được gửi qua cổng không tin cậy, switch sẽ kiểm tra thông tin trong gói ARP (địa chỉ MAC và IP) với cơ sở dữ liệu DHCP Snooping. Nếu thông tin không khớp, gói sẽ bị loại bỏ.
- Ghi nhật ký và báo cáo: Các gói ARP bị loại bỏ sẽ được ghi lại và có thể được báo cáo cho quản trị viên mạng để phân tích và xử lý sự cố.
II. cấu hình
1. Cấu hình DHCP Snooping
Bật DHCP Snooping:
Cấu hình VLAN cho DHCP Snooping:
Đánh dấu cổng tin cậy:
Lưu trữ cơ sở dữ liệu DHCP Snooping:
Kiểm tra và xác minh cấu hình:
2. Cấu hình ARP Inspection (DAI)
Bật ARP Inspection:
Đánh dấu cổng tin cậy:
Cấu hình danh sách kiểm tra ARP ( nếu sử dụng IP static không phải DHCP thì cần cấu hình danh sách kiểm tra ARP để DAI xác minh các gói ARP từ các IP này):
Kiểm tra và xác minh cấu hình:
3. Tích hợp DHCP Snooping và ARP Inspection
Mối quan hệ giữa DHCP Snooping và ARP Inspection:
DHCP Snooping và ARP Inspection tương tác cùng nhau để cung cấp một lớp bảo mật toàn diện cho mạng. DHCP Snooping tạo bảng ràng buộc chứa thông tin về các địa chỉ IP và MAC hợp lệ, trong khi ARP Inspection sử dụng bảng này để xác minh các gói tin ARP. Khi được cấu hình đúng cách, hai cơ chế này bảo vệ mạng khỏi các cuộc tấn công giả mạo địa chỉ IP và MAC, giảm thiểu nguy cơ tấn công man-in-the-middle và bảo vệ dữ liệu nhạy cảm.
Cách sử dụng cơ sở dữ liệu DHCP Snooping cho ARP Inspection:
Khi cấu hình DHCP Snooping trên một VLAN, cơ sở dữ liệu (binding table) sẽ tự động được tạo và duy trì trên switch. Dynamic ARP Inspection (DAI) sau đó sẽ sử dụng trực tiếp cơ sở dữ liệu này để xác minh các gói ARP, mà không cần cấu hình thêm. Quy trình này là tự động, không cần liên kết thủ công giữa DHCP Snooping và ARP Inspection.
Tạo cơ sở dữ liệu DHCP Snooping trên file hệ thống: Nếu ta muốn lưu trữ cơ sở dữ liệu này một cách lâu dài (nghĩa là khi switch khởi động lại vẫn giữ nguyên cơ sở dữ liệu), ta có thể chỉ định một file trên hệ thống lưu trữ của switch để ghi lại cơ sở dữ liệu.
Xem nội dung cơ sở dữ liệu DHCP Snooping:
Xem trạng thái ARP Inspection: Để kiểm tra trạng thái của DAI và các gói bị chặn hoặc cho phép:
III. Kết luận
Trong bài viết này, chúng ta đã tìm hiểu về cách cấu hình và tích hợp hai cơ chế bảo mật quan trọng trong mạng, đó là DHCP Snooping và ARP Inspection. Cả hai cùng hoạt động để bảo vệ mạng khỏi các cuộc tấn công giả mạo địa chỉ IP và MAC, đồng thời giảm thiểu nguy cơ bị tấn công man-in-the-middle. DHCP Snooping giám sát và xây dựng bảng ràng buộc chứa các thông tin về địa chỉ IP và MAC hợp lệ của các thiết bị trong mạng, trong khi ARP Inspection sử dụng bảng này để xác minh và chặn các gói ARP không hợp lệ. Khi được triển khai và cấu hình đúng cách, hai cơ chế này cung cấp một lớp bảo mật mạnh mẽ, giúp bảo vệ dữ liệu nhạy cảm và duy trì tính toàn vẹn của hệ thống mạng.
Tài liệu tham khảo
DHCP snooping
Understanding and Configuring Dynamic ARP Inspection
