DCHP 中继，攻击防范配置

DCHP 中继，攻击防范配置

拓补图

场景
公司网络主机增多 ，管理员手工配置ip任务量比较重，不方便管理，需要架设dhcp服务器。
R1 作为网络中的dhcp服务器，PC为客户端，R2是下游设备的网关，由于dhcp discover是广播报文不能穿越路由器，所以需要在R2上部署dhcp中继，将pc请求报文从R2发送到R1 。
提升网络安全，防止用户私自接入dhcp服务器，导致网络获取错误地址导致数据被窃取，需要部署DHCP snooping功能，使用相关特性防止dhcp饿死攻击，和中间人攻击。
配置步骤
1.配置设备R1和R2的ip地址

2.配置R1和R2之间的路由


将R2的下游接口配置为silent口，验证两个网段的互通性

3.配置R1的全局地址池，使用dis ip pool 命令查看


4.将地址池应用到接口下

5.在R2上配置DHCP中继使得服务端可以响应到客户端的请求，使用dis dhcp server group 和dis dhcp relay all 来验证

6.查看客户端地址分配地址

7.假如这时有人在接入交换机下私自接入了一台基于接口192.168.10.254服务器
8.把S1和R2连接的端口关闭，实现流量卡了一会，导致pc获取到了错误的地址


9.在S1上使用dhcp snooping 来防范未授权的DHCP提供地址

开启dhcp snooping的接口默认为untrust

10.开启R2 和S1的互联端口，查看到pc没有获取到地址


11.因为R1是信任dhcp服务器，所有在交换机与R2的接口上启用信任接口，查看snooping状态

查看客户端是否获取到R1服务端的地址

12.假如说PC1 这台设备被人换成一台攻击性机器，对dhcp服务器发起大量请求报文，耗尽地址池，所以要在S1交换机上连接pc的接口启用防dhcp饿死攻击

13.检查配置为enable则成功，这样的话这个接口收到的dhcp请求都要检查chaddr字段，查看是不是与该主机硬件地址一致，如果不一致不进行转发

12.全局开启防止中间人攻击，然后全局查看