当前位置：文档之家 › DHCP下私自指定ip和私自搭建dhcp

DHCP下私自指定ip和私自搭建dhcp

  • 格式：doc
  • 大小：45.00 KB
  • 文档页数：7

DHCP下私自指定ip和私自搭建dhcp catalyst 3560交换机可以限制端口通过的DHCP数据包的速率，粒度是pps，这样可以防止对DHCP服务器的进行地址请求的DoS攻击。另外Catalyst 3560交换机还支持DHCP Tracker，在DHCP请求中插入交换机端口的ID，从而限制每个端口 申请 的IP地址数目，防止黑客程序对DHCP服务器进行目的为耗尽IP地址池的攻击。华硕虽然不能调整速率，但是也会限制DHCP请求的数量。

DHCP（动态主机配置协议）是一种简化主机IP地址配置管理的TCP/IP标准。该标准为DHCP服务器的使用提供了一种有效的方法：即管理网络中客户机IP地址的动态分配以及启用网络上DHCP客户机的其它相关配置信息。

在基于TCP／IP协议的网络中，每台计算机都必须有唯一的IP地址才能访问网络上的资源，网络中计算机之间的通信是通过IP地址来实现的，并且通过IP地址和子网掩码来标识主计算机及其所连接的子网。在局域网中如果计算机的数量比较少，当然可以手动设置其IP地址，但是如果在计算机的数量较多并且划分了多个子网的情况下，为计算机配置IP地址所涉及的管理员工作量和复杂性就会相当繁重，而且容易出错，如在实际使用过程中，我们经常会遇到因IP地址冲突、网关或DNS服务器地址的设置错误导致无法访问网络、机器经常变动位置而不得不频繁地更换IP地址等问题。

DHCP则很好地解决了上述的问题，通过在网络上安装和配置DHCP服务器，启用了DHCP的客户机可在每次启动并加入网络时自动地获得其上网所需的IP地址和相关的配置参数。从而减少了配置管理，提供了 安全 而可靠的配置。

配置DHCP服务的服务器可以为每一个网络客户提供一个IP地址、子网掩码、缺省网关，以及DNS服务器的地址。DHCP避免了因手工设置IP地址及子网掩码所产生的错误，也避免了把一个IP地址分配给多台主机所造成的地址冲突。降低了IP地址管理员的设置负担，使用DHCP服务器可以大大地缩短配置网络中主机所花费的时间。

但是，随着DHCP服务的广泛应用，也产生了一些问题。首先，DHCP服务允许在一个子网内存在多台DHCP服务器，这就意味着管理员无法保证客户端只能从管理员所设置的DHCP服务器中获取合法的IP地址，而不从一些用户自建的非法DHCP服务器中取得IP地址；其次，在部署DHCP服务的子网中，指定了合法的IP地址、掩码和网关的主机也可以正常地访问网络，而DHCP服务器却仍然会有可能将该地址分配给其他主机，这样就会造成地址冲突，影响IP地址的正常分配。

针对上述问题，本文给出了一个解决方案，即通过使用 Cisco 提供的DHCP Snooping技术和Dynamic ARP Inspection技术，可以有效地防止以上问题的发生。

这里首先对两种技术做一个简要的介绍，然后将给出一个应用实例加以说明。 二、DHCP Snooping技术DHCP Snooping是一种通过建立DHCP Snooping Binding数据库，过滤非信任的DHCP消息，从而保证网络安全的特性。DHCP Snooping就像是非信任的主机和DHCP服务器之间的防火墙。通过DHCP Snooping来区分连接到末端客户的非信任接口和连接到DHCP服务器或者其他交换机的受信任接口。 DHCP Snooping Binding数据库包括如下信息：MAC地址、IP地址、租约时间、binding类型、VLAN ID以及来自本地非信任端口的接口信息，但不包含通过受信任端口互相连接的接口信息。在启用了DHCP Snooping的VLAN中，如果交换机收到来自非信任端口的DHCP包，交换机将对目的MAC地址和DHCP客户端的地址进行对比，如果符合则该包可以通过，否则将被丢弃掉。

在下述情况中，DHCP包将同样被丢弃： l 来自外网或者防火墙的DHCP服务器，包括DHCPOFFER、DHCPACK、DHCPNAK、DHCPLEASEQUERY. l 来自非信任端口，且目的MAC地址和DHCP客户端的硬件地址不匹配。 l 交换机收到DHCPRELEASE或者DHCPDECLINE的广播信息，其MAC地址包含在DHCP snooping binding 数据库中，但与数据库中的接口信息不匹配

l 通过DHCP中继代理转发的包不包括在内 三、Dynamic ARP Inspection技术Dynamic ARP inspection是一种验证 网络 中ARP包的 安全 特性，可以阻止、记录并丢弃非法IP和MAC地址绑定的ARP包。

Dynamic ARP inspection保证只有合法的ARP请求和响应可以传播。交换机会完成如下工作，截取所有来自非信任端口ARP请求和响应，在更新ARP缓存或传播数据包之前验证所截取的数据包IP-MAC地址绑定是否合法，丢弃非法的ARP包。

前面提到，DHCP Snooping会建立一个包含合法IP-MAC地址绑定信息的数据库，Dynamic ARP inspection基于该数据库检验所截取ARP包的合法性。如果ARP包来自非信任接口，那么只有合法的可以通过。如果来自受信任端口，将可以直接通过。

四、应用实例 我校1＃学生公寓，PC拥有数量大约1000台。采用DHCP分配IP地址，拥有4个C类地址，实际可用地址数约1000个。由于楼内经常存在私开的DHCP服务器，导致大量主机无法分配到合法IP地址；另外，由于有相当数量的主机指定IP地址，因此造成了与DHCP分配的IP地址冲突。以上两方面，均造成了该公寓楼大量主机无法正常访问网络。

经过一段时间的分析、实验，我们决定对该公寓楼部署DHCP Snooping和Dynamic ARP Inspection两项技术，以保证网络的正常运行。

该公寓网络设备使用情况如下，接入层为××台 Cisco 2950交换机上联至堆叠的4台Cisco 3750，再通过光纤上联至汇聚层的Cisco 3750交换机。同时汇聚层的Cisco 3750交换机还兼做DHCP服务器。

部署过程 首先按如下过程配置DHCP Snooping 1 configure terminal 2 ip dhcp snooping 在全局模式下启用DHCP Snooping 3 ip dhcp snooping vlan 103 在VLAN 103中启用DHCP Snooping 4 ip dhcp snooping information option Enable the switch to insert and remove DHCP relay information(option-82 field) in forwarded DHCP request messages to the DHCP server. The default is enabled.

5 interface GigabitEthernet1/0/28，进入交换机的第28口 6 ip dhcp snooping trust 将第28口设置为受信任端口 7 ip dhcp snooping limit rate 500 设置每秒钟处理DHCP数据包上限 9 end 退出 完成配置后，可用如下命令观察DHCP Snooping运行状况： show ip dhcp snooping 得到如下信息： Switch DHCP snooping is enabled DHCP snooping is configured on following VLANs： 103 Insertion of option 82 is enabled Verification of hwaddr field is enabled Interface Trusted Rate limit (pps) GigabitEthernet1/0/22 yes unlimited GigabitEthernet1/0/24 yes unlimited GigabitEthernet1/0/27 yes unlimited GigabitEthernet1/0/28 no 500 show ip dhcp snooping binding，得到如下信息： MacAddress IpAddress Lease(sec) Type VLAN Interface 00:11:09:11:51:16 210.77.5.201 3209 dhcp-snooping 103 GigabitEth ernet1/0/28 00:50:8D:63:5A:05 210.77.6.134 2466 dhcp-snooping 103 GigabitEthernet1/0/28 00:E0:4C:A17:80 210.77.4.26 3070 dhcp-snooping 103 GigabitEthernet1/0/28 00:0F:EA:A8:BC:22 210.77.5.198 1887 dhcp-snooping 103 GigabitEthernet1/0/28 10:E0:8C:50:805 210.77.5.95 3034 dhcp-snooping 103 GigabitEthernet1/0/28 00:03:0D:0E:9A:A5 210.77.6.230 3144 dhcp-snooping 103 GigabitEthernet1/0/28 00:50:8D:6C:08:9F 210.77.4.17 3012 dhcp-snooping 103 GigabitEthernet1/0/28 00:E0:50:00:0B:54 210.77.6.18 3109 dhcp-snooping 103 GigabitEthernet1/0/28 00:0F:EA:13:40:54 210.77.7.7 2631 dhcp-snooping 103 GigabitEthernet1/0/28 00:E0:4C:45:21:E9 210.77.7.77 2687 dhcp-snooping 103 GigabitEthernet1/0/28 接下来配置Dynamic ARP Inspection 1 show cdp neighbors 检查 交换机之间的连接情况 Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge S - Switch, H - Host, I - IGMP, r - Repeater, P - Phone Device ID Local Intrfce Holdtme Capability Platform Port ID ap Gig 1/0/23 149 T AIR-AP1230Fas 0 hall-3750 Gig 1/0/27 135 S I WS-C3750-2Gig 1/0/1 1#west-3750 Gig 1/0/28 173 S I WS-C3750G-Gig 1/0/25 2 configure terminal 进入全局配置模式 3 ip arp inspection vlan 103 在VLAN 103上启用Dynamic ARP Inspection 4 interface GigabitEthernet1/0/28 进入第28端口 5 ip arp inspection trust 将端口设置为受信任端口 The switch does not check ARP packets that it receives from the other switch on the trusted interface. It simply forwards the packets.

合集下载

dhcp欺骗攻击原理

dhcp欺骗攻击原理

dhcp欺骗攻击原理DHCP欺骗攻击原理是一种网络攻击方式，可以劫持局域网中其他设备的网络连接，从而导致网络中断或者信息被窃取。

本文将会介绍DHCP欺骗攻击原理及其相关内容。

1. DHCP基本原理DHCP全称为Dynamic Host Configuration Protocol，顾名思义，它是一种动态IP地址分配协议。

在网络拓扑结构中，DHCP服务器向局域网内的设备分配IP地址、网关、子网掩码等参数，使得设备可以在网络上进行通信。

DHCP协议在局域网内有一个特定的工作模式。

设备通过广播的方式向DHCP服务器发出请求，DHCP服务器回应响应信息，告知设备分配的IP地址、网关以及其他相关的参数。

由于DHCP协议是基于UDP协议工作的，所以它具有低延迟、快速等特点。

2. DHCP欺骗攻击DHCP欺骗攻击利用了它的这一特点，也就是利用了DHCP协议中的广播方式。

它的基本原理如下：攻击者伪装成DHCP服务器，向目标设备发送虚假的DHCP响应报文，并告知目标设备分配的IP地址、网关等参数。

目标设备在接收到这个虚假的DHCP响应报文后，会将虚假的IP地址、网关等参数缓存到自己的网络配置中。

从此，设备在进行网络通信时会根据这些伪造的IP地址和网关进行数据传输。

这样一来，攻击者就可以获得受害者的网络通信数据，实施监听、窃取等操作。

3. DHCP欺骗攻击的危害DHCP欺骗攻击可以在不需要通过密钥交换、暴力破解等手段的情况下，迅速地获取受害者的网络通信数据。

攻击者通过篡改设备的IP地址和路由表，可以窃取设备中的敏感数据，比如私人账号、密码等。

另外，DHCP欺骗攻击还会导致网络中断。

因为攻击者不仅改变了设备的IP地址、网关等网络参数，还可能将其他设备的DHCP请求劫持，让他们的请求得不到响应，从而导致网络中断。

4. 防范DHCP欺骗攻击为了避免DHCP欺骗攻击，管理员可以采取以下策略：（1）对DHCP服务器进行访问控制，只允许已授权设备连接。

电脑独立IP搭建如何使用IP地址自动分配

电脑独立IP搭建如何使用IP地址自动分配

电脑独立IP搭建如何使用IP地址自动分配在进行电脑独立IP搭建的过程中，使用IP地址自动分配是一个重要的步骤。

本文将介绍IP地址的自动分配方法及使用方式。

一、IP地址的自动分配方法在进行电脑独立IP搭建之前，我们需要了解IP地址的自动分配方法。

目前常用的IP地址自动分配方式有两种：静态IP地址和动态IP 地址。

1. 静态IP地址静态IP地址是指将固定的IP地址分配给特定的设备，这个IP地址在设备未经修改时保持不变。

在使用静态IP地址时，需要手动配置IP 地址、网关、子网掩码等相关参数。

2. 动态IP地址动态IP地址是指由动态主机配置协议（DHCP）服务器自动分配的IP地址。

当设备连接到网络时，会向DHCP服务器发送请求，服务器根据可用的IP地址池自动分配一个IP地址给设备。

动态IP地址的好处是可以避免IP地址冲突问题，并且可以方便地管理IP地址。

二、使用IP地址自动分配的步骤在了解了IP地址的自动分配方法后，下面是使用IP地址自动分配的步骤。

1. 确认网络设备支持DHCP功能在进行IP地址自动分配之前，需要确保网络设备（如路由器、交换机等）支持DHCP功能。

通常，在网络设备的设置界面中可以找到DHCP相关选项，确保其已经打开。

2. 通过DHCP服务器获取IP地址打开电脑，连接网络设备，并确保网络设备已正常启动。

在操作系统中设置中找到网络设置，选择“自动获取IP地址”或类似的选项。

这样，电脑就会向DHCP服务器发送请求，获取一个可用的IP地址。

3. 检查IP地址的分配情况在获得IP地址后，可以通过查看IP地址和其他相关信息来确认分配是否成功。

在Windows操作系统中，可以通过命令行窗口输入“ipconfig”命令查看IP地址、子网掩码、网关等信息。

在macOS中，可以在系统偏好设置的“网络”选项中查看IP地址信息。

4. 连接网络并测试确认成功获取IP地址后，重新启动电脑或重新连接网络设备，确保新的IP地址已经生效。

dhcp攻击与防御的原理和方法

dhcp攻击与防御的原理和方法

dhcp攻击与防御的原理和方法DHCP（Dynamic Host Configuration Protocol）是一种网络协议，它负责为网络上的设备分配IP地址以及其他网络配置信息。

然而，正是由于其分配IP地址的特性，DHCP成为了黑客们进行攻击的目标之一。

本文将探讨DHCP攻击的原理和方法，并介绍一些常用的防御措施。

我们来了解一下DHCP攻击的原理。

DHCP攻击是指黑客通过伪造DHCP服务器或者恶意篡改DHCP服务器的响应，来欺骗网络上的设备获取虚假的IP地址或其他网络配置信息。

攻击者可以利用这种方式实施各种网络攻击，例如中间人攻击、拒绝服务攻击等。

一种常见的DHCP攻击方法是DHCP服务器伪造。

攻击者会在网络中伪造一个DHCP服务器，并发送虚假的DHCP响应给目标设备。

目标设备在收到响应后会将自己的网络配置信息更新为攻击者指定的虚假信息。

这样，攻击者就可以控制目标设备的网络连接，进而进行各种恶意活动。

另一种DHCP攻击方法是DHCP服务器篡改。

攻击者可以通过劫持网络中的DHCP服务器，修改服务器的配置信息，使其分配虚假的IP地址或其他网络配置信息给目标设备。

这种攻击方式相对隐蔽，很难被目标设备察觉。

为了有效防御DHCP攻击，我们可以采取一系列的措施。

首先，建立一个安全可靠的网络基础架构。

网络管理员应该加强对DHCP服务器的管理和监控，确保其不受攻击者的篡改。

同时，网络中的设备应该定期更新操作系统和安全软件，以及及时修补已知的漏洞，减少攻击的风险。

加强网络流量的监控和检测。

网络管理员可以使用入侵检测系统（IDS）或入侵防御系统（IPS）来实时监测网络流量，发现并阻止可疑的DHCP请求。

此外，还可以设置网络防火墙，限制DHCP流量的传输范围，防止未经授权的DHCP服务器出现。

网络管理员还可以采用DHCP Snooping技术来防御DHCP攻击。

DHCP Snooping是一种基于交换机的技术，它可以识别和过滤伪造的DHCP报文。

深信服_通过PC自建DHCP环境修改option43字段实现AP的发现

深信服_通过PC自建DHCP环境修改option43字段实现AP的发现

大家都知道WAC发现的AP四种机制各适应不同的网络环境，其中一种是通过DHCP来实现WAC发现AP，一般企业的网络设备DHCP服务是不会带有自定义修改option 43字段功能的（比如我们的AC 、AF等），一般的DHCP服务器支持，比如Windows server2003、linux dhcpserver等。

现在分享一个Windows下的小软件可以自建DHCP服务然后指定网口发包向AP分发IP 地址及option 43上填写的WAC地址。

软件名称：dhcpsrv2.4
运行环境：all Windows
1、首先启动dhcpwiz.exe程序配置界面
点击下一步
选择要提供DHCP服务的网卡“本地连接”是我的有线网卡
是否启用WEB服务（就是我所说的可以通过自建web服务器从web界面查看DHCP 分配情况）
下一步，填写DHCP地址池
配置DHCPoption功能（192.200.90.11是WAC的地址），其中标1的那个用户开启TFTP服务，如果不开的话就保持默认即可
再点击“‘advanced”选项填写如下配置
写入配置文件，会生成一个ini的配置文件
好了配置完成，下一步是开启服务
点击安装DHCP服务，并配置防火墙放通策略然后勾选立即运行
此时登陆http://127.0.0.1查看DHCP分配情况
抓包查看
软件官方参考文档En
http://www.dhcpserver.de/dhcpsetup.htm http://www.dhcpserver.de/dhcpini.htm http://www.dhcpserver.de/ini_reference.htm。