【网络安全】【DHCP攻击与防御】.doc

《【网络安全】【DHCP攻击与防御】.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第一章网络基础设施安全实验DHCP攻击与防御【实验名称】DHCP攻击与防御【实验目的】使用交换机的DHCP监听功能增强网络安全性【背景描述】某企业网络中，为了减小网络编址的复杂性和手工配置IP地址的工作量，使用了DHCP为网络中的设备分配IP地址。但网络管理员发现最近经常有员工抱怨无法访问网络资源，经过故障排查后，发现客户端PC通过DHCP获得了错误的IP地址，从此现象可以判断出网络中可能出现了DHCP攻击，有人私自架设了DHCP服务器（伪DHCP服务器）导致客户端PC不能获得正确的IP地址信息，以至不能够访问网

2、络资源。【需求分析】对于网络中出现非法DHCP服务器的问题，需要防止其为客户端分配IP地址，仅允许合法的DHCP服务器提供服务。交换机的DHCP监听特性可以满足这个要求，阻止非法服务器为客户端分配IP地址。【实验拓扑】【实验设备】三层交换机1台（支持DHCP监听）二层交换机1台（支持DHCP监听）PC机3台（其中2台需安装DHCP服务器）1网络安全实验教程【预备知识】交换机转发原理交换机基本配置DHCP监听原理【实验原理】交换机的DHCP监听特性可以通过过滤网络中接入的伪DHCP（非法的、不可信的）发送的DHCP

3、报文增强网络安全性。DHCP监听还可以检查DHCP客户端发送的DHCP报文的合法性，防止DHCPDoS攻击。【实验步骤】第一步：配置DHCP服务器将两台PC配置为DHCP服务器，一台用做合法服务器，另一台用作伪服务器（RogueDHCPServer）。可以使用WindowsServer配置DHCP服务器，或者使用第三方DHCP服务器软件。合法DHCP服务器中的地址池为172.16.1.0/24，伪DHCP服务器的地址池为1.1.1.0/24。第二步：SW2基本配置（接入层）Switch#configureSwit

4、ch(config)#hostnameSW2SW2(config)#vlan2SW2(config-vlan)#exitSW2(config)#interfacerangefastEthernet0/1-2SW2(config-if-range)#switchportaccessvlan2SW2(config)#interfacefastEthernet0/24SW2(config-if)#switchportmodetrunkSW2(config-if)#endSW2#第三步：SW1基本配置（分布层）Switc

5、h#configureSwitch(config)#hostnameSW1SW1(config)#interfacefastEthernet0/24SW1(config-if)#switchportmodetrunkSW1(config-if)#exitSW1(config)#vlan2SW1(config-vlan)#exitSW1(config)#interfacevlan2SW1(config-if)#ipaddress172.16.1.1255.255.255.0SW1(config-if)#exitSW

6、1(config)#vlan100SW1(config-vlan)#exitSW1(config)#interfacevlan1002