सिस्को स्विच 82 और डायनामिक एआरपी निरीक्षण का उपयोग करके एक प्रदाता नेटवर्क का निर्माण

प्रस्तावना

हब में प्रदाता नेटवर्क के निर्माण के लिए कुछ विकल्पों का वर्णन करने वाले कुछ विषय थे, जिनमें हेडर में दर्शाई गई तकनीकों का उपयोग करना शामिल था। भाग में, उन्होंने मेरी समस्या को हल करने में मेरी मदद की, लेकिन मुझे खुद को खोदना पड़ा। मैं जो हुआ उसे साझा करना चाहता हूं और अनुयायियों के लिए समय बचाने की कोशिश करता हूं।

इसलिए, कार्य सेट करना:

एक नेटवर्क को व्यवस्थित करना आवश्यक है जो अंत उपयोगकर्ता के लिए यथासंभव सुविधाजनक है, जबकि सुविधाजनक (तकनीकी सहायता पर न्यूनतम भार के संदर्भ में) और ऑपरेटर के लिए सुरक्षित (धोखाधड़ी के संदर्भ में) है। इसके अलावा, नेटवर्क सस्ता होना चाहिए। किसी का तर्क है कि सिस्को और "सस्ती" असंगत अवधारणाएं हैं, लेकिन एंड ऑफ लाइफ पुराने लोग भी हमारी समस्या को हल करने के लिए उपयुक्त हैं, जिन्हें बहुत सस्ती कीमतों पर खरीदा जा सकता है।

उपयोगकर्ता की सुविधा सुनिश्चित करने के लिए, निम्नलिखित विकल्पों को छोड़ दिया गया:

• IP पते का स्थैतिक असाइनमेंट उपयोगकर्ता के लिए असुविधाजनक है, पते को कहीं लिखा जाना चाहिए, जिन उपयोगकर्ताओं ने पता खो दिया है उन्हें तकनीकी सहायता में कहा जाता है
• मैक-एड्रेस द्वारा बाइंडिंग के साथ dhcp उपयोगकर्ता के लिए असुविधाजनक है, जब आपको डिवाइस को प्रदाता के साथ फिर से पंजीकृत करने या उस पर मैक को बदलने की आवश्यकता होती है।
• सभी प्रकार की सुरंगों में, ज्यादातर पीपीटीपी - के लिए क्लाइंट सेटिंग्स, भूल गए लॉगिन और पासवर्ड की आवश्यकता होती है

विचार किए गए सभी विकल्पों में से, डीएचसीपी के साथ विकल्प उपयोगकर्ता के लिए सबसे सुविधाजनक है, लेकिन प्रदाता के लिए कई कठिनाइयां हैं:
मैक बाइंडिंग असुविधाजनक है क्योंकि आपको नए मैक पते फिर से पंजीकृत करने होंगे। केवल आईपी-एड्रेस द्वारा बिलिंग में उपयोगकर्ता प्रमाणीकरण भी पहली नज़र में अविश्वसनीय लगता है, एक चालाक उपयोगकर्ता मैन्युअल रूप से पड़ोसी का आईपी-पता सेट कर सकता है और भ्रम की स्थिति ला सकता है। हालांकि, एक समाधान है और यह लेख के शीर्षक से प्रौद्योगिकियों पर बनाया गया है - विकल्प 82 और गतिशील एआरपी निरीक्षण

कौन समाधान के बारे में परवाह करता है - मैं कटौती के लिए कहता हूं

निर्णय

पते जारी करने के लिए डीएचसीपी सर्वर 82 विकल्प द्वारा निर्देशित किया जाएगा, जो निर्धारित करता है कि स्विच के किस भौतिक बंदरगाह को एक पते के लिए अनुरोध प्राप्त हुआ। इस प्रकार, हम 14 वें अपार्टमेंट से वास्या पुपकिन को प्राप्त करते हैं, जिसकी केबल हमारे एसडब्ल्यू -01 स्विच के 7 वें पोर्ट से जुड़ी है, हमेशा पता 10.10.1.7 पता चलेगा, उदाहरण के लिए, जिस डिवाइस से वह अपने केबल से कनेक्ट होता है। यह दृष्टिकोण हमें केवल आईपी पते द्वारा वास्या पुपकिन की पहचान करने की अनुमति देता है, लेकिन एक समस्या है। पड़ोसी झोरा, जो इंटरनेट के लिए भुगतान नहीं करना चाहता है, वास्या पुप्किन के पते को सौंप देगा, नेटवर्क पर आईपी पते का संघर्ष पैदा करेगा और वास्या की कीमत पर इंटरनेट का उपयोग करेगा।

ऐसा होने से रोकने के लिए, गतिशील एआरपी निरीक्षण तकनीक है। तकनीक का सार डीएचसीपी सर्वर से प्राप्त मैक + आईपी बंडलों की जांच करने और पोर्ट पर पहुंचने वाले एआरपी अनुरोधों के साथ उनकी तुलना करने के लिए उबलता है। इस प्रकार, भले ही पड़ोसी झोरा खुद को वैसा ही मैक और आईपी सेट करता है, स्विच यह जांच करेगा कि क्या डीएचसीपी ने इस पोर्ट के लिए इस तरह के मैक को आईपी जारी किया है। यदि जारी नहीं किया गया है, तो पैकेट को छोड़ दिया जाएगा।

वास्तव में सेटिंग

हमारे पास हमारे निपटान में दो स्विच हैं: सिस्को 2950-24 और सिस्को 2960-24-टीटी-एल
2950 स्विच का उपयोग ग्राहकों को जोड़ने के लिए किया जाएगा। इस पर प्रबंधन vlan 254 प्रबंधन के लिए कॉन्फ़िगर किया गया है।
स्विच आईपी - 10.0.254.10 , मैक - 00: 11: 92: 1 बी: 3 ए: 00

2960 डीएचसीपी सर्वर के रूप में कार्य करेगा और एआरपी निरीक्षण कार्य करेगा।
स्विच आईपी - 10.0.254.2 , मैक - 00: 16: सी 8: डी 7: डी 2: 80

मैक को शो वर्जन कमांड के साथ देखा जा सकता है

cisco WS-C2950-24 (RC32300) processor (revision P0) with 19911K bytes of memory. Processor board ID FOC0825Z1GD Last reset from system-reset Running Standard Image 24 FastEthernet/IEEE 802.3 interface(s) 32K bytes of flash-simulated non-volatile configuration memory. Base ethernet MAC Address: 00:11:92:1B:3A:00 

2950 स्विच डायनेमिक एआरपी निरीक्षण का समर्थन नहीं करता है, लेकिन हम इस समस्या को अपस्ट्रीम स्विच पर हल कर सकते हैं। उदाहरण में, सिस्को 2960-24-TT-L का उपयोग इस तरह के स्विच के रूप में किया जाता है, हालाँकि L3 स्विच का उपयोग करना अधिक सही है, उदाहरण के लिए, 3550-12T या 3550-12G , तो यह इंटर-वीएलएएन रूट कार्य को भी हल कर सकता है।

और इसलिए, C2950 पर हम निम्नलिखित को कॉन्फ़िगर करते हैं:

1. वैश्विक कॉन्फ़िगरेशन मोड में, dhcp-relay संदेश में विकल्प जोड़ने की आवश्यकता को इंगित करें:
   

    ip dhcp relay information option 

   
   
2. प्रबंधन इंटरफ़ेस की सेटिंग्स में, इंगित करें कि डीएचसीपी अनुरोधों को 10.0.254.2 पर 2960 वें स्विच में भेजा जाना चाहिए
   

    interface Vlan254 ip address 10.0.254.10 255.255.255.0 ip helper-address 10.0.254.2 

   
   
3. वैश्विक कॉन्फ़िगरेशन मोड में, हमारे सभी vlan s के लिए DHCP स्नूपिंग सक्षम करें
   

    ip dhcp snooping vlan 10 ip dhcp snooping vlan 20 ip dhcp snooping vlan 254 ip dhcp snooping 

   
   
4. निर्धारित करें कि डीएचसीपी-ऑफ़र केवल पोर्ट 24 से अनुमति है, जिसमें 2960 अपस्ट्रीम डीएचसीपी सर्वर के साथ जुड़ा हुआ है।
   

    interface FastEthernet0/24 ip dhcp snooping trust 

   
   

C2960 का विन्यास थोड़ा अधिक जटिल है:

1. प्रत्येक उपयोगकर्ता के लिए, एक आईपी ​​dhcp वर्ग प्रविष्टि बनाएं
   

    ip dhcp class user01 remark SW2950-1 port 01 relay agent information relay-information hex 01060004000a0001020800060011921b3a00 

   
   यह केवल रिले-इनफॉर्मेशन को कक्षा में निर्दिष्ट करने के लिए पर्याप्त है, लेकिन सुविधा के लिए यह भी टिप्पणी टिप्पणी का उपयोग करने के लिए अनुशंसित है, जिसमें आप लिख सकते हैं, उदाहरण के लिए, सब्सक्राइबर डेटा।
   यहां सबसे महत्वपूर्ण बात हेक्स-स्ट्रिंग गठन के सिद्धांत को समझना है। ये विकल्प 82 में शामिल 18 बाइट्स हैं
   इसकी सामग्री में दो फ़ील्ड शामिल हैं: सर्किट-आईडी और रिमोट-आईडी
   सर्किट-आईडी में vlan नंबर और भौतिक पोर्ट नंबर होता है जिसमें से dhcp अनुरोध आया था।
   रिमोट-आईडी में स्विच का मैक पता होता है जिसने यह अनुरोध भेजा है।
   इस स्ट्रिंग को वायरशार्क विश्लेषक द्वारा निकाला जा सकता है, लेकिन यह करने के लिए प्रत्येक ग्राहक के लिए असुविधाजनक है, इसलिए हम इस पर विचार करेंगे कि इसे कैसे उत्पन्न किया जाए।
   
   
   
2. सबस्क्राइबर्स के लिए dhcp क्लासेस बनाने के बाद, प्रत्येक वीलन के लिए एड्रेस पूल कॉन्फ़िगर करें
   
   पता किराये का समय 5 मिनट है। यह आवश्यक है ताकि जब एक अलग पते वाला कोई नया उपकरण इसके पोर्ट से जुड़ा हो, तो सब्सक्राइबर को जल्दी से इस पर एक पता प्राप्त होता है। अन्यथा, एक त्रुटि होगी कि यह पूल समाप्त हो गया है, क्योंकि इसमें केवल 1 पता है। इसके अलावा, उदाहरण बाकी dhcp पूल सेटिंग्स को छोड़ देता है, जैसे कि प्रवेश द्वार, dns, आदि।
   
   

    ip dhcp pool vlan10 network 10.0.10.0 255.255.255.0 lease 0 0 5 class user01 address range 10.0.10.11 10.0.10.11 class user02 address range 10.0.10.12 10.0.10.12 

   
   
3. आपको स्विच पर प्रत्येक पूल के लिए उपयुक्त आईपी इंटरफेस को कॉन्फ़िगर करना होगा। यह इंटरफ़ेस वलान के माध्यम से किया जाता है
   इस तथ्य के बावजूद कि C2960 एक दूसरे स्तर का स्विच है, यह आपको कई आईपी-इंटरफेस को सक्रिय रखने की अनुमति देता है, लेकिन उनके साथ ट्रैफ़िक को रूट नहीं कर सकता है।
   

    interface Vlan10 ip address 10.0.10.2 255.255.255.0 ! interface Vlan20 ip address 10.0.20.2 255.255.255.0 ! interface Vlan254 ip address 10.0.254.2 255.255.255.0 

   
   
4. इस स्विच पर, हमें dhcp-snooping को भी कॉन्फ़िगर करने की आवश्यकता है, क्योंकि यह विकल्प मैक एड्रेस को जारी किए गए IP पते को बाइंड करने के लिए आधार बनाता है।
   IP dhcp स्नूपिंग डेटाबेस कमांड का उपयोग करके, हम डेटाबेस के स्टोरेज लोकेशन को निर्धारित करते हैं, उदाहरण के लिए इसे फ्लैश में dhcp फाइल में स्टोर किया जाएगा। आप ftp, tftp, http, https, scp और अन्य url को स्टोरेज लोकेशन के रूप में भी निर्दिष्ट कर सकते हैं।
   IP dhcp स्नूपिंग सूचना विकल्प अनुमति-अविश्वास आदेश आपको स्विच पर सभी बंदरगाहों से विकल्प 82 के साथ अनुरोध स्वीकार करने की अनुमति देता है।
   

    ip dhcp snooping vlan 10 ip dhcp snooping vlan 20 ip dhcp snooping information option allow-untrusted ip dhcp snooping database flash:dhcp ip dhcp snooping 

   
   
5. फिलहाल, हम आईपी-एड्रेस को स्विच के भौतिक पोर्ट से जोड़कर काम कर रहे हैं। यह डायनेमिक एआरपी निरीक्षण को कॉन्फ़िगर करने के लिए बना हुआ है। यह एक साधारण आदेश के साथ किया जाता है:
   

    ip arp inspection vlan 10,20 

   
   

अवधारणा का प्रमाण

स्विच के 9 वें पोर्ट से जुड़े क्लाइंट को एड्रेस असाइनमेंट की जांच करें। पोर्ट 20 वें वलान में है, हमारी योजना के अनुसार, क्लाइंट को एड्रेस 10.0.20.9 प्राप्त करना होगा

आइए हेक्स मूल्य बनाते हैं: 01060004 0014 0008 02080006 0011921b3a00
जहां 0014 वां वलान है,
0008 - 9 वें स्विच पोर्ट
0011921b3a00 उसका मैक है।

 ip dhcp class user09 remark SW2950-1 port 09 relay agent information relay-information hex 0106000400140008020800060011921b3a00 ip dhcp pool vlan20 network 10.0.20.0 255.255.255.0 lease 0 0 5 class user09 address range 10.0.20.9 10.0.20.9 

तो यह एक्सचेंज वायरशार्क में दिखता है:


और यह डीबग आईपी dhcp सर्वर ईवेंट कमांड का आउटपुट है

 2d00h: DHCPD: Sending notification of DISCOVER: 2d00h: DHCPD: htype 1 chaddr 000a.e45b.dcc6 2d00h: DHCPD: remote id 00060011921b3a00 2d00h: DHCPD: circuit id 000400140008 2d00h: DHCPD: interface = Vlan20 2d00h: DHCPD: class id 4d53465420352e30 2d00h: DHCPD: out_vlan_id 0 2d00h: DHCPD: DHCPOFFER notify setup address 10.0.20.9 mask 255.255.255.0 2d00h: DHCPD: Sending notification of ASSIGNMENT: 2d00h: DHCPD: address 10.0.20.9 mask 255.255.255.0 2d00h: DHCPD: htype 1 chaddr 000a.e45b.dcc6 2d00h: DHCPD: lease time remaining (secs) = 300 2d00h: DHCPD: interface = Vlan20 2d00h: DHCPD: out_vlan_id 0 

000a.e45b.dcc6 - क्लाइंट मैक एड्रेस
अब हम दूसरे लैपटॉप को उसी पोर्ट से कनेक्ट करते हैं।

 2d00h: DHCPD: Sending notification of DISCOVER: 2d00h: DHCPD: htype 1 chaddr 089e.012b.6ce1 2d00h: DHCPD: remote id 00060011921b3a00 2d00h: DHCPD: circuit id 000400140008 2d00h: DHCPD: interface = Vlan20 2d00h: DHCPD: class id 4d53465420352e30 2d00h: DHCPD: out_vlan_id 0 2d00h: DHCPD: no free address within the address range for class user09 in pool vlan20 2d00h: DHCPD: Sending notification of ASSIGNMENT FAILURE: 

पहले हमें एक संदेश मिलता है कि पूल में कोई मुफ्त पते नहीं हैं (क्योंकि इस पते को किसी अन्य पोस्ता को किराए पर देने के लिए आवंटित 5 मिनट अभी तक समाप्त नहीं हुए हैं)।
हालाँकि, थोड़ी देर बाद हमें वह पता मिल जाता है जिसकी हमें आवश्यकता है, लेकिन पहले से ही ग्राहक के लिए खसखस 08-9e-01-2b-6c-e1

 2d00h: DHCPD: Sending notification of DISCOVER: 2d00h: DHCPD: htype 1 chaddr 089e.012b.6ce1 2d00h: DHCPD: remote id 00060011921b3a00 2d00h: DHCPD: circuit id 000400140008 2d00h: DHCPD: interface = Vlan20 2d00h: DHCPD: class id 4d53465420352e30 2d00h: DHCPD: out_vlan_id 0 2d00h: DHCPD: Adding binding to radix tree (10.0.20.9) 2d00h: DHCPD: Adding binding to hash tree 2d00h: DHCPD: assigned IP address 10.0.20.9 to client 0108.9e01.2b6c.e1. (316 0) 2d00h: DHCPD: DHCPOFFER notify setup address 10.0.20.9 mask 255.255.255.0 2d00h: DHCPD: Sending notification of ASSIGNMENT: 

अब देखते हैं कि हमारे ग्राहक के पड़ोसी, स्विच 10 के पोर्ट 10 से जुड़े हैं, वह मैन्युअल रूप से पता 10.0.20.9 सेट कर सकते हैं
चूंकि सिस्को 2950 डायनेमिक एआरपी निरीक्षण का समर्थन नहीं करता है, इसलिए इस तकनीक को अपस्ट्रीम सिस्को 2960 स्विच पर कॉन्फ़िगर किया जाना चाहिए।
C2960 पर शो आईपी dhcp स्नूपिंग बाइंडिंग कमांड, मैक को आईपी एड्रेस की बाइंडिंग दिखाएगा

 MacAddress IpAddress Lease(sec) Type VLAN Interface ------------------ --------------- ---------- ------------- ---- -------------------- 08:9E:01:2B:6C:E1 10.0.20.9 288 dhcp-snooping 20 FastEthernet0/1 Total number of bindings: 1 

FastE ईथरनेट0 / 1 2960 स्विच का इंटरफ़ेस है, जिसमें बहाव 2950 शामिल है।

कंप्यूटर को मैन्युअल रूप से कॉन्फ़िगर किए गए पते 10.0.20.9 के साथ C2950 के 10 वें पोर्ट से कनेक्ट करें
और फिर हमें एक त्रुटि की सूचना दिखाई देगी, जिसमें से यह देखा जा सकता है कि यह स्विच के 1 पोर्ट पर 20 वें वेलन में हुई थी। इसके अलावा, हम आईपी और खसखस ​​पते देखते हैं जो त्रुटि का कारण बने। 000a.e45b.dcc6 / 10.0.20.9 /

 2d01h: %SW_DAI-4-DHCP_SNOOPING_DENY: 1 Invalid ARPs (Req) on Fa0/1, vlan 20.([000a.e45b.dcc6/10.0.20.9/0000.0000.0000/10.0.20.9/23:48:25 EEST Mon Sep 2 2013]) 

आप यह पता लगा सकते हैं कि किसने विशेष रूप से C2950 स्विच पर जाकर स्विचिंग टेबल को देखकर धोखा देने की कोशिश की

 SW2950-1#show mac-address-table Mac Address Table ------------------------------------------- Vlan Mac Address Type Ports ---- ----------- -------- ----- 20 000a.e45b.dcc6 DYNAMIC Fa0/10 20 089e.012b.6ce1 DYNAMIC Fa0/9 

हम देखते हैं कि हमारे लिए ब्याज की मैक 10 पोर्ट पर लटका हुआ है।

यह, शायद, सब है, अतिरिक्त जानकारी इन लेखों में मिल सकती है:

सिस्को राउटर पर काम और डीएचसीपी सेटिंग्स की विशेषताएं
सिस्को राउटर्स पर काम और डीएचसीपी सेटिंग्स की विशेषताएं (भाग 2)
IPoE के साथ-साथ क्लाइंट-वीएलएएन और डीएचसीपी विकल्प 82
IPoE समस्या - मैं अपने दम पर जोड़ूंगा कि अगर सब कुछ सही तरीके से कॉन्फ़िगर किया गया है तो कोई समस्या नहीं है।
लिंक-लेवल एआरपी-स्पूफिंग अटैक और सिस्को स्विच की सुरक्षा कैसे की जाती है, यह एक अच्छा लेख है जिसमें डायनामिक एआरपी इंस्पेक्शन का एक और फायदा दिखाया गया है - सामान्य रूप से नेटवर्क सुरक्षा में सुधार।