👋 Привет, сетевой друг!

Сегодня разберём, в чём разница между DHCP Snooping и Dynamic ARP Inspection (DAI). Обе технологии защищают L2-сеть, но от совершенно разных атак.

🟣DHCP Snooping защищает сеть от поддельных DHCP-серверов. Представьте, что кто-то подключил к офисному коммутатору свой роутер, который начал раздавать клиентам IP-адреса, шлюз и DNS.
Компьютеры могут получить настройки от чужого устройства, а весь их трафик пойдёт через подставной шлюз.

🟣DHCP Snooping делит порты на trusted и untrusted. Ответы DHCP-сервера разрешены только с доверенных портов. Если обычный клиентский порт начнёт отправлять DHCP Offer, коммутатор отбросит пакет.

🟣Dynamic ARP Inspection решает другую проблему - ARP Spoofing.

Допустим, атакующий отправляет в сеть ARP-ответ:

192.168.1.1 → AA:BB:CC:DD:EE:FF

И убеждает соседние устройства, что MAC-адрес шлюза принадлежит ему.
DAI проверяет ARP-пакеты по таблице привязок IP и MAC, которую обычно создаёт DHCP Snooping. Если адреса не совпадают, пакет блокируется.

🟣Как настроить на Cisco:

Сначала включаем DHCP Snooping:

ip dhcp snooping
ip dhcp snooping vlan 10

interface GigabitEthernet0/1
 ip dhcp snooping trust

Здесь Gi0/1 - порт в сторону легитимного DHCP-сервера или доверенного сетевого оборудования.

Теперь включаем проверку ARP:

ip arp inspection vlan 10

На клиентских портах ARP-пакеты будут проверяться, а порт к доверенному шлюзу при необходимости можно настроить отдельно:

interface GigabitEthernet0/2
ip arp inspection trust

🟣Главная разница: DHCP Snooping не даёт чужому устройству раздавать сетевые настройки, а DAI не позволяет подменять соответствие IP и MAC через ARP. Причём технологии связаны: DAI часто использует таблицу DHCP Snooping, чтобы понимать, какие адреса действительно принадлежат клиентам.

🟣Что проверить при диагностике:

show ip dhcp snooping
show ip dhcp snooping binding
show ip arp inspection
show ip arp inspection statistics

И важный момент: если в сети используются статические IP, для DAI понадобятся дополнительные разрешённые привязки, например ARP ACL. Иначе можно случайно заблокировать вполне легитимные устройства.

Серверная Админа | Zeroday | #DHCP