Mange angreb sker inde i det lokale netværk: en falsk DHCP-server, ARP-spoofing, en bærbar, der sender falske IPv6-router advertisements, eller en løkke, der fylder netværket med broadcasts. I CCNA 200-301 v2.0 skal du kunne konfigurere Layer 2-sikkerhed (emne 4.7): DHCP snooping, Dynamic ARP Inspection, storm control, RA guard og port security. Her gennemgår vi dem alle med Cisco IOS-eksempler.

Eksemplerne tager udgangspunkt i en Catalyst-switch, hvor Gi1/0/1–24 er klientporte i VLAN 10 og Gi1/0/48 er uplink mod routeren og DHCP-serveren.

Port security

Port security begrænser, hvilke og hvor mange MAC-adresser der må bruge en switchport. Det beskytter mod uautoriserede enheder og mod MAC flooding, hvor en angriber fylder switchens MAC-tabel. 

SW1(config)# interface range GigabitEthernet1/0/1 - 24
SW1(config-if-range)# switchport mode access
SW1(config-if-range)# switchport access vlan 10
SW1(config-if-range)# switchport port-security
SW1(config-if-range)# switchport port-security maximum 2
SW1(config-if-range)# switchport port-security mac-address sticky
SW1(config-if-range)# switchport port-security violation restrict
  • Port security virker kun på porte, der er sat statisk som access eller trunk, ikke på porte med dynamisk (DTP) tilstand.
  • maximum 2 tillader fx en IP-telefon og en pc.
  • sticky lærer de første MAC-adresser og skriver dem ind i running-config.

Der er tre violation-modes:

Mode Kasserer trafik Logger/tæller Lukker porten
protect Ja Nej Nej
restrict Ja Ja Nej
shutdown (standard) Ja Ja Ja (err-disabled)

En port i err-disabled åbnes igen med shutdown efterfulgt af no shutdown, eller automatisk med errdisable recovery cause psecure-violation. 

SW1# show port-security
SW1# show port-security interface GigabitEthernet1/0/5
SW1# show interfaces status err-disabled

DHCP snooping

DHCP snooping forhindrer en falsk DHCP-server i at uddele forkerte gateway- og DNS-adresser (et klassisk man-in-the-middle-angreb). Switchen deler porte op i:

  • Trusted: porte mod den rigtige DHCP-server og uplinks. Her må der komme DHCP-svar (OFFER/ACK).
  • Untrusted: alle andre porte. DHCP-svar, der kommer ind her, bliver kasseret.

Switchen bygger samtidig en binding-tabel med MAC, IP, VLAN og port for hver klient. Den bruges af DAI. 

SW1(config)# ip dhcp snooping
SW1(config)# ip dhcp snooping vlan 10
SW1(config)# interface GigabitEthernet1/0/48
SW1(config-if)# ip dhcp snooping trust
SW1(config-if)# exit
SW1(config)# interface range GigabitEthernet1/0/1 - 24
SW1(config-if-range)# ip dhcp snooping limit rate 10

limit rate begrænser antallet af DHCP-pakker pr. sekund på klientporte og beskytter mod DHCP starvation.

En typisk faldgrube: Som standard indsætter switchen option 82 i DHCP-forespørgslerne. Hvis DHCP-serveren eller relayet afviser dem, får klienterne ingen adresse. Slå det fra med no ip dhcp snooping information option, hvis din server ikke bruger option 82. 

SW1# show ip dhcp snooping
SW1# show ip dhcp snooping binding

Dynamic ARP Inspection (DAI)

DAI beskytter mod ARP-spoofing/ARP-poisoning, hvor en angriber påstår at være fx default gateway. Switchen sammenligner ARP-pakker på untrusted-porte med DHCP snooping-binding-tabellen og kasserer dem, der ikke passer. 

SW1(config)# ip arp inspection vlan 10
SW1(config)# interface GigabitEthernet1/0/48
SW1(config-if)# ip arp inspection trust

Enheder med statiske IP-adresser findes ikke i binding-tabellen. Til dem skal du lave en ARP ACL, ellers bliver deres ARP-trafik blokeret. 

SW1# show ip arp inspection
SW1# show ip arp inspection statistics vlan 10

Storm control

En broadcast storm, typisk på grund af en løkke eller et defekt netkort, kan lægge et helt VLAN ned. Storm control måler broadcast-, multicast- og unknown unicast-trafik på en port og griber ind, når en grænse overskrides. 

SW1(config)# interface range GigabitEthernet1/0/1 - 24
SW1(config-if-range)# storm-control broadcast level 5.00 3.00
SW1(config-if-range)# storm-control multicast level 10.00
SW1(config-if-range)# storm-control action trap
  • level 5.00 3.00 betyder: Begynd at kassere broadcast, når den overstiger 5 % af båndbredden, og stop igen, når den falder under 3 %.
  • Grænsen kan også angives i bps eller pps.
  • action kan være shutdown (porten bliver err-disabled) eller trap (sender en SNMP-trap). Uden en action bliver overskydende trafik blot filtreret.
SW1# show storm-control
SW1# show storm-control GigabitEthernet1/0/5 broadcast

Storm control erstatter ikke Spanning Tree. Det er et ekstra sikkerhedsnet, hvis STP svigter, eller hvis nogen fx sætter en lille switch op uden STP.

RA guard (IPv6)

I IPv6 annoncerer routere sig selv med Router Advertisements (RA), og klienter bruger dem til SLAAC og default gateway. En angriber, eller bare en fejlkonfigureret pc, kan sende falske RA’er og sende trafikken sin egen vej. RA guard blokerer RA’er på porte, hvor der ikke burde stå en router. 

SW1(config)# ipv6 nd raguard policy KLIENTER
SW1(config-nd-raguard)# device-role host
SW1(config-nd-raguard)# exit
SW1(config)# ipv6 nd raguard policy ROUTER
SW1(config-nd-raguard)# device-role router
SW1(config-nd-raguard)# exit
SW1(config)# interface range GigabitEthernet1/0/1 - 24
SW1(config-if-range)# ipv6 nd raguard attach-policy KLIENTER
SW1(config-if-range)# exit
SW1(config)# interface GigabitEthernet1/0/48
SW1(config-if)# ipv6 nd raguard attach-policy ROUTER

SW1# show ipv6 nd raguard policy

Syntaksen afhænger af platform og IOS-version. Ældre switche kan bruge ipv6 nd raguard direkte på interfacet. RA guard hører til familien IPv6 First Hop Security sammen med bl.a. DHCPv6 guard og IPv6 source guard.

Samlet overblik

Funktion Beskytter mod Afhænger af
Port security Uautoriserede enheder, MAC flooding Statisk access/trunk-port
DHCP snooping Falske DHCP-servere, DHCP starvation Trusted/untrusted-porte
DAI ARP-spoofing DHCP snooping-binding-tabellen (eller ARP ACL)
Storm control Broadcast-, multicast- og unicast-storme Grænseværdier pr. port
RA guard Falske IPv6-router advertisements Politik pr. port (host/router)

Rækkefølgen ved udrulning

I et eksisterende netværk er det en god idé at rulle funktionerne ud i trin: Først port security i restrict-mode, så du kan se overtrædelser uden at lukke porte. Derefter DHCP snooping, så DAI, når binding-tabellen er fyldt, og til sidst storm control og RA guard. Følg show-output og syslog undervejs.

Tips til praksis

  • Start med DHCP snooping, da DAI bygger videre på den.
  • Sæt trust på uplinks før du slår funktionerne til, så du ikke afbryder dig selv.
  • Kombinér med Spanning Tree-funktioner som BPDU guard og PortFast på klientporte.
  • Læg ubrugte porte i et ubrugt VLAN, og luk dem med shutdown.

Relateret: Konfigurer access & trunk, Access & Trunk porte, Opsætte DHCP på Cisco router og vores artikel om IPv6 grundlæggende.