ZTE ZXR10 5900E series (MPLS) - Инструкция (Страница 253)

Глава 16 Конфигурация безопасности
Собственность корпорации ZTE. Конфиденциально. 151
Р И С . 1 6 -4 А Т А К А Ч Е Л О В Е К А П О С Е Р Е Д И Н Е
A/B/C находятся в одном широковещательном домене, т.е.
одном сетевом сегменте. Если А и В связываются друг с
другом, то сначала отправляется пакет ARP, который может
изучаться С. Если С действует как человек посередине для
выполнения
злонамеренного сканирования, только
отправляет свободный ARP на А для информирования, что IP
соответствующего МАС-адреса В был обновлен до того, что у
С, поток из А в В напрямую переадресовывается в С; На
основе того же принципа поток с В на А может
переадресовываться в С. После выполнения злонамеренного
сканирования пакета, С изменяет целевой адрес в качестве
реального МАС-адреса В или С и возвращает пакет на
коммутатор. Поток между А и В может нормально
переадресовываться и не восприниматься. Таким образом, С
выполняет атаку человека посередине.
Для предотвращения данной ошибки следует проверять все
пакеты ARP. Те, которые соответствуют квалификации,
переадресовываются ПО. Пакеты ARP, которые не проходят
проверку, будут отброшены.
На основе данного требования добавлены следующие методы,
предотвращающие обычные атаки ARP.
1. Относительно ненадежного интерфейса DAI блокирует все
пакеты ARP и отправляет их в ПО верхнего слоя для
проверки.
2. Скорость, с которой пакеты ARP отправляются в ЦП,
конфигурируется.
3. Если включена DHCP SNOOPING, то проверяется
соответствующая связь laye 2 IP ,MAC и порта.
Нелегальный пользователь будет отброшен.
DAI определяет пакеты ARP в соответствии с отношением
привязки между IP и MAC-адресом, хранимых в надежной
базе данных. Если DHCP SNOOPING VLAN открыта, то база
данных создается DHCP SNOOPING. Если пакет ARP
получается из надежного порта, коммутатору не нужна
никакая проверка и он переадресует пакет сразу. Если
пакет ARP получается из ненадежного порта, коммутатор
переадресовывает только действительные пакеты.