每日一练 - 防御中间人攻击配置方法

01 真题题目

中间人攻击或 IP/MAC Spoofing 攻击都会导致信息泄露等危害，且在内网中比较常见。为了防止中间人攻击或 IP/MAC Spoofing 攻击，可以采取的配置方法有：

A. 配置 trust/untrusted 接口

B. 限制交换机接口上允许学习到的最多 MAC 地址数目

C. 开启 DHCP Snooping 检查 DHCPREQUEST 报文中 CHADOR 字段的功能

D. 在交换机上配置 DHCP Snooping 与 DAI 或 IPSG 进行联动

02 真题答案

D

03 答案解析

中间人攻击和 IP/MAC Spoofing 攻击是常见的网络攻击手段，可能导致信息泄露、数据篡改等问题。为了防止这类攻击，网络管理员可以采取多种措施。选项 D 描述的方法是有效的防御措施之一。

04 学习拓展

★ 防御措施

· 配置 trust/untrusted 接口：这是一种防御措施，但不是直接针对中间人攻击或 IP/MAC Spoofing 攻击的有效方法。通常用于区分信任程度不同的网络接口。
· 限制交换机接口上允许学习到的最多 MAC 地址数目：这种方法可以防止 MAC 地址泛滥攻击，但不是直接针对中间人攻击或 IP/MAC Spoofing 攻击的。
· 开启 DHCP Snooping 检查 DHCPREQUEST 报文中 CHADOR 字段的功能：CHADOR 字段用于记录客户端的硬件地址，开启 DHCP Snooping 并检查 CHADOR 字段可以防止 DHCP 服务器被欺骗，但不是直接防止 IP/MAC Spoofing 的方法。
· 在交换机上配置 DHCP Snooping 与 DAI 或 IPSG 进行联动：这是一种有效的方法，可以防止中间人攻击和 IP/MAC Spoofing 攻击。DAI（Dynamic ARP Inspection）用于验证 ARP 请求和响应报文的有效性，IPSG（IP Source Guard）用于验证 IP 数据包的源地址是否合法。

★ 分析选项

A. 配置 trust/untrusted 接口：这是一种防御措施，但不是直接针对中间人攻击或 IP/MAC Spoofing 攻击的有效方法。
B. 限制交换机接口上允许学习到的最多 MAC 地址数目：这种方法可以防止 MAC 地址泛滥攻击，但不是直接针对中间人攻击或 IP/MAC Spoofing 攻击的。
C. 开启 DHCP Snooping 检查 DHCPREQUEST 报文中 CHADOR 字段的功能：虽然这种方法可以防止 DHCP 服务器被欺骗，但不是直接防止 IP/MAC Spoofing 的方法。
D. 在交换机上配置 DHCP Snooping 与 DAI 或 IPSG 进行联动：这是一种有效的方法，可以防止中间人攻击和 IP/MAC Spoofing 攻击。

★ 案例分析
假设一家公司希望保护其内部网络免受中间人攻击和 IP/MAC Spoofing 攻击。网络管理员可以配置 DHCP Snooping 与 DAI 或 IPSG 进行联动。

· 具体步骤如下：

1、在交换机上启用 DHCP Snooping。

2、创建 DHCP Snooping 信任端口列表，只允许 DHCP 服务器所在端口发送 DHCP 报文。

3、配置 DAI 或 IPSG 规则，确保所有 ARP 请求和响应报文以及 IP 数据包的源地址都是合法的。

★ 学习拓展
对于网络工程师来说，理解防止中间人攻击和 IP/MAC Spoofing 攻击的配置方法非常重要。通过深入学习这些防御措施的工作原理和配置方法，网络工程师可以更好地设计和实施有效的安全策略，确保网络资源的合理分配，提高网络效率和安全性。
总之，选项 D 中描述的方法是有效的，即在交换机上配置 DHCP Snooping 与 DAI 或 IPSG 进行联动，可以有效防止中间人攻击和 IP/MAC Spoofing 攻击。通过合理配置这些安全措施，网络工程师可以确保网络的安全性和稳定性。

还想学更多技术知识？又或是需要完整华为真题真题题库？

私信小编，回复【题库】，限时获取~

想获取更多『 思科 | 华为 | 华三 | 红帽 | CISP | OCP | PMP | 软考 』、『 考证咨询 | 认证真题 | 职业规划 | 岗位内推 』，请关注公众号：HCIE考证研究所