开发学院网络安全安全技术 实战:cisco环境下解决arp欺骗问题 阅读

实战:cisco环境下解决arp欺骗问题

 2008-09-04 13:20:31 来源:WEB开发网   
核心提示: 2.建立和维护一张dhcp-snooping的绑定表,这张表一是通过dhcp ack包中的ip和mac地址生成的,二是可以手工指定,实战:cisco环境下解决arp欺骗问题(2),这张表是后续DAI(dynamic arp inspect)和IP Source Guard 基础,这两种类似

2.建立和维护一张dhcp-snooping的绑定表,这张表一是通过dhcp ack包中的ip和mac地址生成的,二是可以手工指定。这张表是后续DAI(dynamic arp inspect)和IP Source Guard 基础。这两种类似的技术,是通过这张表来判定ip或者mac地址是否合法,来限制用户连接到网络的。

配置:

switch(config)#ip dhcp snooping

switch(config)#ip dhcp snooping vlan 10

switch(config-if)#ip dhcp snooping limit rate 10

/*dhcp包的转发速率,超过就接口就shutdown,默认不限制

switch(config-if)#ip dhcp snooping trust

/*这样这个端口就变成了信任端口,信任端口可以正常接收并转发DHCP Offer报文,不记录ip和mac地址的绑定,默认是非信任端口

switch#ip dhcp snooping binding 0009.3452.3ea4 vlan 7 192.168.10.5 interface gi1/0/10

/*这样可以静态ip和mac一个绑定

switch(config)#ip dhcp snooping database tftp:// 10.1.1.1/dhcp_table

/*因为掉电后,这张绑定表就消失了,所以要选择一个保存的地方,ftp,tftp,flash皆可。本例中的dhcp_table是文件名,而不是文件夹,同时文件名要手工创建一个

2. ARP inspection

1.介绍

DAI是以dhcp-snooping的绑定表为基础来检查mac地址和ip地址的合法性。

2.配置

switch(config)#ip dhcp snooping vlan 7

switch(config)#ip dhcp snooping information option

/*默认

switch(config)#ip dhcp snooping

switch(config)#ip arp inspection vlan 7

/* 定义对哪些 VLAN 进行 ARP 报文检测

switch(config)#ip arp inspection validate src-mac dst-mac ip

Tags:实战 cisco 环境

编辑录入:爽爽 [复制链接] [打 印]
[]
  • 好
  • 好的评价 如果觉得好,就请您
      0%(0)
  • 差
  • 差的评价 如果觉得差,就请您
      0%(0)
赞助商链接