DHCP Snooping + DAI原理

最新推荐文章于 2024-01-03 16:04:38 发布
最新推荐文章于 2024-01-03 16:04:38 发布
阅读量1.4k 收藏 3
点赞数
文章标签： 网络协议
原文链接：https://www.cnblogs.com/tim54252/p/12856533.html
版权

1.交换机开户dhcp snooping后会维护一个IP地址与MAC地址的绑定信息表。

2.DAI基于dhcp snooping工作，DAI可以利用dhcp snooping的binding表来检查所有信任端口的ARP请求和响应，确保应答来自真正的MAC所有者。如果是虚拟的MAC则丢弃。

举例：

即假如DAI的数据表记录着PC1的mac是a.a.a.a  10.1.1.1 fa0/1的信息

如果交换机fa0/1收到一个ARP的信息说 是 b.b.b.b 10.1.1.3的话就会把这个arp包丢弃

 

洋洋v风大不大∃
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
DHCP-Snooping与DAI
weixin_33827590的博客
05-13 1566
DHCP-Snooping与DAI简介DHCP-Snooping（DHCP窥探）：当交换机开启了 DHCP-Snooping后，会对DHCP报文进行侦听，并可以从接收到的DHCP Request或DHCP Ack报文中提取并记录IP地址和MAC地址信息。另外，DHCP-Snooping允许将某个物理端口设置为信任端口或不信任端口。信任端口可以正常接收并转发DHCP Of...
DHCP高阶应用系列之《DHCP Snooping + DAI(ARP Detection)杜绝ARP攻击》
weixin_44645270的博客
07-22 2239
本系列第一章中介绍过DHCP Snooping + IPSG限制用户随意修改IP地址信息，既然用户只能使用由DHCP服务器分配的IP地址为什么还需要对ARP进行限制呢?源于IPSG是对IP协议的数据包进行合法性校验，而ARP协议的数据包不在IPSG的处理范围内，ARP协议作为以太网通信里的一个重要协议，决定主机发送的数据能不能被交换机正确转发。DAI可以通过DHCP Snooping生产的IP-MAC表项对进入交换机的ARP数据包进行合法性校验，保证LAN内所有主机及路由器网关等设备ARP缓存信息不被篡改.
Dynamic ARP Inspection(DAI)工作原理及测试
weixin_33841722的博客
05-25 722
一.工作原理：A.根据DHCP Snooping或手工方式形成的MAC地址与IP地址绑定表，来确定网络中的非法接入的MAC地址B.同时为了防止恶意ARP欺骗，还可以对接口的arp请求包进行限速---测试发现，对于非信任口的arp请求和回复（包括无理arp）都会被丢弃，因此觉得在非信任端口做限速没有多大必要（没有手工修改DHCP绑定表，或用arp access-list做排除的情况）参考链接：htt...
思科模拟器DHCP snooping和DAI [动态ARP绑定]
Cisco Packet Tracer 思科模拟器知识分享
02-28 1824
本篇文章主要讲解了思科模拟器中DHCP snooping侦听 和DAI[动态ARP检测]
网络部署DHCP Snooping+DAI功能
weixin_74904641的博客
02-15 783
在S1、S2交换机部署DHCP Snooping+DAI功能。其中，DAI功能主要针对VLAN10与VLAN20启用ARP防御，要求关闭S1/S2上联口的NFPP功能，具体配置如下：
DHCP Snooping + DAI + IPSG
大任的网络专栏
05-03 5035
DHCP Snooping + DAI + IPSG   (2012-08-28 14:19:02) 转载▼ 标签：  监听   dhcp   snooping   dai   ipsg 分类： Cisco交换入门 DHCP Snooping + DAI + IPSG实验 因为DHCP
DHCP高阶应用系列之《dhcp-snooping + ipsg 拒绝非法DHCP服务器、拒绝用户随意修改IP地址》
weixin_44645270的博客
07-18 2599
DHCP高阶操作系列之《dhcp-snoping + ipsg 拒绝非法DHCP服务器、拒绝用户随意修改IP地址》
思科交换机配置IP DHCP SNOOPING、DAI、IPSG例子
net527的专栏
05-17 1711
几个月来，我一直在想你。 一、网络拓扑  二、说明 1、拓扑说明：汇聚层交换机为CATALYST4506，核心交换机为CATALYST6506，接入层交换机为CATALYST2918。4506上启 用IP DHCP SNOOPING和DAI以及IPSG，4506上连和下连的端口均配置为TRUNKING；65
DHCPSnooping&DAI&IPSG
BJH23的博客
09-09 421
dhcp snooping check dhcp-rate 10----端口超过10个包时shutdown。dhcp snooping check dhcp-chaddr enable----设置防御饿死攻击。dhcp snooping check dhcp-rate enable----速率控制使能。dhcp snooping enable----dhcp snooping使能。DHCP攻击-----DHCP Snooping。dhcp enable----全局使能dhcp。防IP欺骗----IPSG。
HUAWEI DHCP Snooping-DAI-IPSG
qq_55707182的博客
03-30 2384
为了防御中间人攻击，可以在Switch上部署动态ARP检测DAI（Dynamic ARP Inspection）功能。动态ARP检测是利用绑定表来防御中间人攻击的。当设备收到ARP报文时，将此ARP报文对应的源IP、源MAC、VLAN以及接口信息和绑定表的信息进行比较，如果信息匹配，说明发送该ARP报文的用户是合法用户，允许此用户的ARP报文通过，否则就认为是攻击，丢弃该ARP报文。 使能了DHCP Snooping的设备将用户（DHCP客户端）的DHCP请求报文通过信任接口发送给合法的DHCP服务器..
综合实验（DHCP snooping,DAI,IPSG）
繁星流动天际
04-02 681
任务一: 启用DHCP监听 步骤1:在交换A和B上启用VLAN10的DHCP监听。因为cisco ios DHCP服务器不支持选项82，所以交换机A和B将禁用选项82的标记:// 82的标记----中继代理选项. SwitchA#configure terminal SwitchA(config)#ip dhcp snooping SwitchA(config)#i...
DHCP Snooping理论与配置
m0_49864110的博客
03-06 5024
DHCP Snooping时DHCP的一种安全特性，用于保证DHCP客户端从合法的DHCP服务器获取IP地址，并记录DHCP客户端IP地址与MAC地址等参数的对应关系，防止网络上针对DHCP攻击。设备收到arp报文时，将arp报文对应的源IP地址、源MAC地址、接口、Vlan等信息和绑定表的信息进行对比（如果信息匹配，则允许arp报文通过；1、配置静态绑定表，手动配置IP地址、MAC地址、Vlan等信息绑定DHCP Snooping IP源防攻击技术（IPSG）动态ARP检测技术（DAI）
交换安全三宝（DHCP Snooping+IPSG+DAI）简单实验
weixin_33736649的博客
05-28 701
1 实验拓扑图 2 DHCP Snooping2.1 基本DHCP Snooping配置：C2960#show running-config Building configuration...!ipdhcp snooping vlan 10ipdhcp snooping!interface FastEthernet0/1description ---Connected...
通信网络（2）——DAI技术
最新发布
Hemameba的博客
01-03 791
在今天的测试脚本过程中，遇到了ARP防攻击基于VLAN的DAI防攻击知识点，因此本篇文章将用于介绍为何DAI技术DAI技术是思科的一种技术，全称为Dynamic ARP Inspection，顾名思义动态ARP选择，这里提一下为什么会出现这个DAI技术，因为我们知道ARP报文是作用于局域网中的广播协议，它是没有检测功能的，也就是说我们收到ARP报文是不会检测它是否是正确的，因此这个漏洞就很容易被黑客抓住，黑客会伪造ARP报文，使得局域网内的设备将错误的信息存入自身的ARP缓存表中，这样局域网内的信息都会发往
锐捷交换机部署snooping+DAI功能
cheems404的博客
11-12 3864
Ruijie(config)#ip dhcp snooping #开启DHCP snooping功能 Ruijie(config)#ip arp inspection vlan 1 #针对VLAN1中的用户启用DAI（arp防御）
ARP的欺骗泛洪攻击的防御——DAI动态ARP监控技术、
qq_62311779的博客
01-31 4115
目录 一、DAI动态ARP监控技术（具备DHCP SNOOPING环境下）： 二、非DHCP SNOOPING环境下： 扩展：自动打开err-disable接口方法： arp欺骗详细过程前往一下连接： (36条消息) MAC地址的欺骗和泛洪攻击、arp欺骗和泛洪攻击、如何防御、思科交换机端口安全技术配置命令、不能启用端口安全特殊案列讲解（附图，建议PC查看）_孤城286的博客-CSDN博客 DHCP snooping技术及DHCP欺骗攻击，前往： (36条消息) DHCP欺骗泛洪攻击、如何防御
交换安全：MAC、dhcp、DAI、IP源防护
weixin_34384557的博客
12-06 666
一、MAC洪泛原理：由于交换机具备自动学习能力，将数据帧中的源MAC与进入的端口形成映射形成MAC地址表，存放在内存中；若***者发送大量伪造的源MAC数据帧给交换机，那么交换机会产生大量的错误对应一个MAC；将这个端口对应的MAC静态绑定；1、//进入交换机接口接口MAC条目，最终导致内存溢出。2、防御方法：限制一个端口下能进入主机的数量——学习...
DAI（dynamic arp inspection）
繁星流动天际
04-02 761
DAI（dynamic arp inspection） 是一种能够验证网络中ARP数据包的安全特性，可以防止中间人攻击。 通常需要和DHCP的snooping结合使用，因为要利用到DHCP snooping技术生成的绑定表。也可静态写IP和MAC的绑定表 原理：启用DAI后，将接口分为trusted和untrusted。对于untrusted接口，要进行ARP的检查，必须是和绑定表中的条目相匹...
IPSG和DAI的区别 防止非法DHCP
weixin_34351321的博客
03-28 1170
IPSG即IP源保护，DAI即动态ARP检测这2项技术部署的前提是DHCPSnooping2种技术都是2层技术。区别可以从他们的名字中看出来，分别用于防范不同的***类型：IPSG用于同一个网络中，其他主机盗用自己的IP地址。如果配置了IPSG，那么每个端口只能有一个IP地址，就算你的主机关机了，但是只要别人没有占用你的端口，就不能用你的IP地址。这是一个很好的防止内部网络乱...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值