👋 Привет, сетевой друг!

Сегодня разберем, как защитить сеть с помощью DHCP Snooping и Dynamic ARP Inspection (DAI) на Cisco.

🟣DHCP Snooping: фильтр для DHCP: DHCP Snooping отслеживает все DHCP-запросы, разрешая ответы только от доверенных серверов. Коммутатор помечает порты, подключенные к маршрутизаторам и DHCP-серверам, как доверенные, а все остальные — как недоверенные.

🟣Чтобы включить защиту, задаем лимиты трафика и отмечаем доверенные интерфейсы:

AccSwitch(config)#int range gi1/0/1-46
AccSwitch(config-if-range)#ip dhcp snooping limit rate 15
AccSwitch(config-if-range)#ip arp inspection limit rate 100

AccSwitch(config)#int range gi1/0/47-48
AccSwitch(config-if-range)#ip dhcp snooping trust
AccSwitch(config-if-range)#ip arp inspection trust

AccSwitch(config)#ip dhcp snooping
AccSwitch(config)#ip dhcp snooping vlan 200
AccSwitch(config)#no ip dhcp snooping information option

🟣Dynamic ARP Inspection - защита от MITM: DAI блокирует поддельные ARP-ответы, проверяя соответствие IP и MAC-адресов. Если в сети есть устройства со статическими IP, их нужно добавить в ARP-список доступа:

AccSwitch(config)# arp access-list DAI
AccSwitch(config-arp-nacl)# permit ip host 192.168.200.25 mac host 0017.6111.a309

Также можно жестко привязать MAC-адрес к порту:

AccSwitch(config)#ip source binding 0017.6111.a309 vlan 200 192.168.200.14 interface Gi1/0/5
AccSwitch(config)#interface range gi1/0/1-46
AccSwitch(config-if-range)#ip verify source

🟣Включаем DAI (но не сразу!): Сначала ждем 1-2 дня, чтобы таблица DHCP Snooping заполнилась. Иначе DAI заблокирует всех юзеров. После этого включаем защиту:

AccSwitch(config)#ip arp inspection vlan 200

Серверная Админа | #DHCPsnooping