ARP攻击防御术心法-几乎不涉及产品

上一篇 / 下一篇  2008-11-15 20:31:45

查看( 133 ) / 评论( 5 )
心法卷首语

    世间万物有因有果,自从无为老祖自创了 IP之后…………这个世界乱了。

    在一个电闪雷鸣的下午一个邪教中人发现了 ip 中最脆弱的部分“arp”。自从 arpattack 被发明以后…………更乱了。无数密码、帐号被盗,无数网络在瞬间瘫痪,网管被领导骂得狗血喷头(画外音:我这联众怎么又上不去了,你是干什么吃的。)。

    难道我们就这么坐以待毙吗?不,身为无为老祖第N代传人的我,继承了无为老祖不断探索,勇于尝试的优秀品质,经过不断的search,终于找到解决办法。双管齐下,整治ARP attack。整个江湖已经被浓厚的商业味道所占领,每个门派都在推出自己的产品,经过多年的拼杀,终于江湖上的两大门派诞生了,一个是以“任我行”任正非为首,总坛设在华夏大地深圳huawei派,一个是以“ JohnT.Chambers为首总坛设在新大陆美洲的CISCO派。两大派高手云集,两派的产品也在不断加入新的功能,这些功能为我实现阻断arp attack提供了基础入门心法。

    心法修炼要点

    一、本心法分上下两卷,第一卷为入门心法可实现初级的arp attack防御。第二劵为高阶心法,修炼此心法任督二脉具通者,2个时辰即可大功告成,否则……………………。

    二、心法修炼过程中往往会出现气脉涩滞,修炼者万不可强行冲关,导致气海受损。应屏气凝神,以小周天仔细检查心法修炼过程中各环节,勿求快,但求稳。

TAG:

jyiufe的个人空间 jyiufe 发布于2008-11-15 20:31:05
卷一:
    卷一卷首语:
    本卷huawei派武功为基础,huawei派武功秉承我中华上下五千文化,不求冗长复杂,但求简单易练。第一卷为第一式 L2的ARP防御术+辅助心法静态ARP转发表项。

    第一式:L2的ARP防御术

    Huawei开创了自定义ACL(acl number 5000‐5999)利用这个我们可以在 L2层面上阻击ARP attack。在这里我仅以S3026举例。

    全局配置ACL禁止所有源IP是网关的ARP报文

    acl num 5001

    rule 0 deny 0806 ffff 24 c0a80001 ffffffff 40

    rule1 permit 0806 ffff 24 0013320207ba ffffffffffff 34

    其中rule0把整个S3026的端口冒充网关的ARP报文禁掉,其中红色字体部分c0a80001是网关IP地址 192.168.0.1的16进制表示形式。Rule1允许通过网关发送的ARP报文,红色字体部分为网关的mac地址0013‐3202‐07ba。

    注意:配置Rulee时的配置顺序,上述配置为先下发后生效的情况。

    在S3026 统视图下发acl规则:

    [S3026C] packet-filter user-group 5001

    这样只有S3026C上连网关设备才能够发送网关的ARP报文,其它主机都不能发送假冒网关的arp响应报文。

    如何验证第一式修炼成功呢?修炼者练成之后,换一个网关设备,网关ip不变,网络肯定就不通了,只有将rule1里面的MAC地址换成新网关的地址后才能正常通讯。

    辅助心法:在这一式里面,如果想气脉更为通畅,还需再修炼一个辅助心法(可能有的修炼者已经练成),就是在网关处设置静态的ARP转发表项。
jyiufe的个人空间 jyiufe 发布于2008-11-15 20:31:39
第二卷(DAI心法)

    第二卷较为复杂,需要修炼者具有较深厚的内力,任督二脉具通者修炼更为提速。修炼第二卷需要一些先天条件:DHCPserver一台、CISCO4506一台(仅用于举例)、CISCO3550\2950若干。

    第一式:搭建DHCPserver

    这是第二卷的心法的基础, DHCPserver可以用windows搭建也可以用linux\UNIX 搭建。我比较懒,就用windows搭建吧。基本上有多少个VLAN 就要在DHCPserver里面做多少个域。但是有一点就是,server就不需要做DHCP 了。

    第二式:在4506上面启用DHCPrelay

    Switch(Config)#ServiceDhcp

    Switch(Config)#Ip Dhcp Relay Information check

    第三式:给每个VLAN 定义 DHCPserver

    在VLAN虚接口下

    interface Vlan2 (这个是服务器所在的 VLAN)

    description server

    !

    interface  Vlan3

    ip address 10.167.89.62255.255.255.192

    IP helper‐address10.167.88.7(这就是给VLAN添加DHCP服务器的命令)

    ip pim dense-mode

    !

    第四式:启动 ip dhcp snooping

    ip dhcp snooping vlan3‐7,9,101‐105(需要在哪个VLAN上启用就写哪个VLAN的VLAN 号)

    no ip dhcp snooping information option

    ip dhcp snooping

    这一步按照我的理解就是建立一个IP和MAC的对应关系,但是,这个对应关系的来源是来自DHCP。

    第五式:启动ip arp inspection并记录日(记录日志非常重要,后面需要用它找到网段中发送ARP异常的机器。)

    ip arp inspection vlan 3‐7,9,101,200 (设置需要启用Ip arp inspection的VLAN)

    ip arp inspection log‐buffer entries 1024(这个就不用说了吧,字面上都看得出来)

    ip arp inspection log‐buffer logs 1024 interval 10

    ip arp inspection limitrate30(这是设置ARP阀值,超过此阀值会直接导致端口因发生err‐disable错误而DOWN)

    这已是里面我认为最重要的就是最后一条,如何能保证网络的稳定运行,就靠它了,那个端口发生问题就把那个关掉,以免影响 VLAN 内其它机器。

    第六式:设置err‐disable 恢复条件

    第五式中端口会被DOWN掉,那怎么恢复呢?不能一直被 DOWN。在这里我们有两个选择。

    一、手动将端口 shutdown 、noshutdown,对于我这个天下第一懒武术家怎么能忍受这种笨到家的办法呢!

    二、使用 errdisable recovery心法

    errdisable recovery cause arp‐inspection(对arp‐inspection产生的errdisable 事件使用自动恢复)

    errdisable recovery interval 30(恢复时间为相对时间 30 秒)

    第七式:设置端口为untrust

    Switch(Config)#interface range fastEthernet 2/1每-48

    Switch(config‐if‐range)#no ip arp inspection trust(设置端口为untrust端口,这样ip arp inspection才会在这个端口上生效)

    第八式:设置日志服务器

    logging source‐interface GigabitEthernet1/2(发送日志的源接口)

    logging 10.167.88.7(日志服务器地址)

    第九式:法外开恩

    有些网段里面可能有一些计算机不能更改地址,或者是一些设备不能使用DHCP。那么我们就要法外开恩,不对他们进行检测。

    第一招:定义arp access-list

    arp access-list caiwuliwai

    permit ip host 10.167.91.10 mac any log

    arp access-list shengchanliwai

    permit ip host 10.167.90.101 mac any log

    permit ip host 10.167.90.66 mac any log

    第二招: ip arp inspection filter

    ip arp inspection filter caiwuliwai vlan 4

    ip arp inspection filter shengchanliwai vlan 103

    第十式:搭建日志服务器

    我用的是 KiwiSyslogDaemon轻量级的日志系统。

    至此第二卷全部结束。

    心法要领说明:

    17:56:00:%SW_DAI坼4坼DHCP_SNOOPING_DENY:1InvalidARPs(Req)onFa4/19,vlan

    200.([000a.e43e.c463/192.168.200.100/0000.0000.0000/192.168.200.100/08:12:15 UTCWed Apr262006])这个设备的时间我没调整

    这个日志说明用户没有使用 DHCP,而是使用手工指定的方式配置 Ip 地址。

    03:23:09:%SW_DAI坼4坼PACKET_RATE_EXCEEDED:16 packets received in 4 milliseconds on Fa6/10 (阀值值超过报警)

    03:23:09:%PM-4-ERR_DISABLE:arp-inspection error detected on Fa6/10,putting Fa6/10 in

    err-disable state(端口自动关闭)

    这个日志说明这个端口接收到的 ARP报文超过了阀值,端口自动关闭。

    本心法还可防止用户手工配置IP地址,有利于管理。

    这个心法对于那种疯狂发送 ARP报文,还有那种 ARP扫描都很有效。Arp 扫描我使用的是WinArpAttacker3.50。

    除此之外,为防止交换机下面挂的傻HUB、杂牌交换机上的PC互相攻击的问题,采用编写脚本下发的模式,脚本在附件里面。
我就是我自己 银色黎明 发布于2008-11-15 20:43:51
还是很不错滴
赛尔鲁东发布于2008-11-24 13:45:50

明年今日发布于2008-11-27 09:42:13
楼主辛苦啦,支持一吧!!
我来说两句

(可选)

日历

« 2010-03-18  
 123456
78910111213
14151617181920
21222324252627
28293031   

数据统计

  • 访问量: 1089
  • 日志数: 11
  • 建立时间: 2007-12-07
  • 更新时间: 2009-06-10

RSS订阅

Open Toolbar