HCIE-RS 论述题 DHCP

题目需求

1、网络中部分终端不能访问网关，终端ARP表频繁变化。网络中部分终端获取不到地址，获取的地址为169.254.X.X。请定位故障原因并解决
2、如何防止非法有线设备接入，写出你的方案

一、网络中部分终端不能访问网关，终端ARP表频繁变化。网络中部分终端获取不到地址，获取的地址为169.254.X.X。请定位故障原因并解决

针对部分终端无法访问网关，且存在大量ARP表项翻动，同时部分终端设备无法通过DHCP服务器正常获取IP地址。
结合上述拓扑，分析可能原因、排障思路如下：

1、物理层链路翻动导致故障
如果交换机之间互联链路频繁up/down导致震荡的情况，可能会导致上述现象，可以通过设备日志信息快速判断是否存在链路翻动情况，
上述故障可以通过替换线缆或者端口模块进行故障排除。

2、欺骗攻击导致上述故障
（1）ARP中间人攻击
在网关设备上通过display arp all观察ARP表项，存在ARP表项翻，初步判断存在ARP欺骗攻击，攻击者会伪造ARP应答消息，导致网关设备或者其他终端频繁更新表项，数据流量错误发送至攻击者。
上述攻击可以通过ARP表项固化 、ARP严格学习、DAI动态ARP检测等技术解决。
（2）网关欺骗攻击
在终端设备上通过arp -a观察网关设备对应的ARP表项，如果发现终端设备的ARP表项翻动，则考虑出现针对网关的欺骗攻击。上述攻击可以通过ARP防网关冲突 、网关发送免费ARP 等技术解决。
（3）DHCP服务器欺骗攻击
可能存在攻击者仿冒DHCP服务器，导致客户端无法通过合法服务器正确获得IP地址。
上述攻击可以利用DHCP Snooping的信任功能，配置连接合法DHCP Server的接口为信任接口即可。

3、泛洪攻击导致上述故障
（1）ARP泛洪攻击
可以在网关设备上通过display cpu-defend statistics packet-type arp-request / arp-reply all命令观察是否存在大量ARP报文丢弃。
若存在大量ARP报文丢弃，说明存在ARP泛洪攻击导致无法通信。
上述攻击可以通过配置ARP报文限速来解决，而如果针对ARP表项空间的攻击则可以通过ARP表项限制解决。
（2）DHCP报文泛洪攻击
如果存在攻击者伪造大量DHCP发现消息、DHCP请求消息，也会造成交换机无法处理合法报文的故障。我们可以通过命令display cpu-defend statistics packet
type dhcp-client观察是否存在大量DHCP请求报文被丢弃。上述攻击通过DHCP Snooping报文限速功能进行防范。
（3）DHCP拒绝服务攻击
存在DHCP饿死攻击，攻击者通过伪造DHCP请求消息中的CHADDR字段不断向DHCP服务器申请IP地址，导致服务器地址池被耗空，无法为合法用户分配地址。 上述攻击可配置DHCP snooping功能，限制端口允许接入的最大用户数量，同时开启DHCP snooping 检测CHADD 功能，防止非法接入。
（4）TC泛洪攻击
上述拓扑中交换机接收到TC报文后，会执行MAC地址表项和ARP表项的删除操作，如果攻击者伪造TC消息并频繁发送，会导致交换机表项翻动，造成上述故障。 上述攻击可以通过配置STP TC保护来进行防范。

4、设备性能规格或者配置问题
如果网络规模超出当前设备性能及表项空间规格，也可能出现上述故障，则建议对设备进行升级；
如果存在人为配置错误的可能，可以通过display history-command观察设备近期配置，如果存在该问题，建议对设备进行管理层面加固。

二、如何防止非法有线设备接入，写出你的方案

考虑到上述园区网的拓扑设计和业务类型，针对该园区网络的非法接入，主要从以下几个角度进行防范：

1、NAC
通过在接入交换机上部署NAC网 络接入控制来拒绝非法接入，从而实现企业网络安全，通过Imaster NCE- Campus控制器来实现用户的准入，有线部分采用802.1X 认证/MAC认证和混合认证的方式，基于我们的控制器(认证服务功能)实现用户的准入； 用户终端可以通过802.1X认证实现认证接入网络；
哑终端(打印机)等基于MAC地址认证实现网络接入； 如果有限制用户互访的需求，可以配置业务随行方案，基于安全组来实现用户之间的隔离。
2、端口安全:
绑定端口下的MAC和限制MAC地址学习功能；绑定合法用户的MAC地址,限制最大学习数量
例如该端口下只有一个合法用户,通过静态方式绑定,然后设置最大学习数量为1

3、MAC地址安全:
静态配置MAC地址表，关闭MAC地址学习的功能；针对部分固定MAC地址的攻击可以通过配置黑洞MAC地址条目来实现安全防护。

4、DAI动态ARP检测
针对非法客户端接入后可能造成的ARP欺骗攻击，开启DAI动态ARP检测之后，借助形成的DHCP Snooping绑定表项完成对ARP消息的合法性检测，从而防止ARP 中间人等欺骗攻击。

5、IPSG IP源防护
针对非法客户端接入后造成的IP地址欺骗攻击，也可以在开启DHCP Snooping功能之后利用DHCP Snooping绑定表项进行IP 报文的合法性检测，防止非法客户端静态修改IP地址，进行IP欺骗攻击等行为。针对部分手工分配IP地址的打印机或者客户端 ，可以手工创建静态用户绑定表项，从而通过IPSG的检测。

6、边缘端口配合保护机制
非法客户端接入后如果伪造STP报文诸如TC BPDU也会导致整个交换网络因为拓扑变更而产生震荡，此时通过边缘端口的部署 可以解决上述问题，边缘端口可以加速接口的收敛，同时不会因为端口状态迁移触发拓扑变更，配置BPDU防护等技术可以防 范针对STP的恶意攻击。