防火墙的区域划分+来自公网、内网的ip欺骗攻击+防御

一、适用场景:

1、某些企业的WIFI覆盖不全面的情况下,企业职工想通过自己购置的无线路由器实现使用无线WIFI时,无意间接入无线路由器,导致ip欺骗攻击形成。

2、当企业对某个网段中的某些ip地址,限制其不能连外网,但是为了连外网,用户手动修改自己设备的ip地址为网关ip地址时,ip欺骗攻击形成。

3、某些企业中懂网络工作原理的工作人员,恶作剧时,修改某设备的ip地址为网关或路由器接口的ip地址,ip欺骗攻击形成。

解决方案:在链路中的关键设备上进行ip地址与MAC地址的ARP静态绑定。配置IPSG技术、DHCP snooping技术,本例通过实验的方式来完成无意或有意的攻击,以及如何防御。拓扑图中红色框的路由器用于模拟攻击的设备。

二、拓扑图:

三、配置打通网络(除红色框中的路由器,其余为正常运行中的网络设备)

(一)AR1:

sysname AR1

dhcp enable

interface GigabitEthernet0/0/1

ip address 192.168.100.253 255.255.255.0

dhcp select relay

dhcp relay server-ip 192.168.100.254

interface GigabitEthernet0/0/2

ip address 192.168.101.254 255.255.255.0

dhcp select relay

dhcp relay server-ip 192.168.100.254

rip 1

version 2

network 192.168.101.0

network 192.168.100.0

(二)AR2:

sysname AR2

dhcp enable

ip pool yanfa

gateway-list 192.168.101.254

network 192.168.101.0 mask 255.255.255.0

dns-list 192.168.2.1

ip pool bangong

gateway-list 192.168.100.254

network 192.168.100.0 mask 255.255.255.0

excluded-ip-address 192.168.100.253

dns-list 192.168.2.1

interface GigabitEthernet0/0/1

ip address 192.168.1.253 255.255.255.0

interface GigabitEthernet0/0/2

ip address 192.168.100.254 255.255.255.0

dhcp select global

rip 1

version 2

network 192.168.1.0

network 192.168.100.0

(三)AR3:

sysname AR3

interface GigabitEthernet0/0/1

ip address 203.203.1.1 255.255.255.248

interface GigabitEthernet0/0/2

ip address 203.204.100.254 255.255.255.0

dhcp select interface

dhcp server excluded-ip-address 203.204.100.1

dhcp server excluded-ip-address 203.204.100.252

rip 1

version 2

network 203.203.1.0

network 203.204.100.0

(四)FW1:

sysname USG6000V1

interface GigabitEthernet1/0/0

undo shutdown

ip address 192.168.2.254 255.255.255.0

interface GigabitEthernet1/0/1

undo shutdown

ip address 203.203.1.2 255.255.255.248

interface GigabitEthernet1/0/2

undo shutdown

ip address 192.168.1.254 255.255.255.0

firewall zone trust

set priority 85

add interface GigabitEthernet0/0/0

add interface GigabitEthernet1/0/2

firewall zone untrust

set priority 5

add interface GigabitEthernet1/0/1

firewall zone dmz

set priority 50

add interface GigabitEthernet1/0/0

rip 1

version 2

network 203.203.1.0

network 192.168.2.0

network 192.168.1.0

security-policy

rule name trustdmztountrust

source-zone dmz

source-zone trust

source-zone untrust

destination-zone dmz

destination-zone trust

destination-zone untrust

action permit

(五)DNS Server1


(六)FTP Server2

(七)Https Server3


(八)测试网络的连通性:

1、验证AR2的DHCP功能,基于全局的地址池是否能被PC2获取到正确的ip地址、网关、DNS信息,与预期一致,如下图:

2、验证AR2的DHCP功能,基于全局的地址池在DHCP中继后,是否能被PC1获取到正确的ip地址、网关、DNS信息,与预期一致,如下图:

3、trust区域的PC2访问DMZ区域的dns server,测试连通性

(1)PC2 192.168.100.252 ping dns server 192.168.2.1,连通正常,如下图:

(2)PC2跟踪到dns server的路由

4、trust区域的PC1 访问DMZ区域的dns server,测试连通性

(1)PC1 ping dns server

(2)PC1跟踪到dns server的路由

5、trust区域的PC2与client2访问untrust区域的https server3,测试连通性

(1)PC2跟踪到http server3的路由

(2)client2访问www.baidu.com网站

6、trust区域的PC1与client1访问untrust区域的https server3,测试连通性

(1)PC1跟踪到https server3的路由

(2)client1访问www.baidu.com网站

四、验证攻击与防御过程:

(一)在trust内网区域,接入一个新路由器AR4,模拟内网网关的ip欺骗

1、未配置AR4之前,PC2通过DNS server正常解析www.baidu.com的路径,如下图:

2、配置AR4的G0/0/1接口ip地址与AR2的G0/0/2接口相同,都为192.168.100.254

(1)AR4上操作:

interface GigabitEthernet0/0/1

ip address 192.168.100.254 255.255.255.0

查看AR4的G0/0/2接口MAC地址为00e0-fce2-739e

3、查看AR2上的G0/0/2接口MAC地址为:00e0-fc0a-362a

4、在PC2上验证网络的连通性,并验证网关到底是哪个,从下图可以看出,很明显,此时虽然ping通了192.168.100.254,却是由AR4这台攻击路由器回复的数据包,如下图:

5、PC1释放ip地址后,再重新获取ip地址时,由于AR4的接入,网关MAC地址变化,所以获取不到ip地址了,分别在AR2的G0/0/2接口与AR4的G 0/0/1接口抓包,均有DHCP的discover中继请求,但回复数据包是AR2还是AR4无法确定,因为AR2与AR4此时有接口的ip地址完全相同,都是192.168.100.254/24,导致DHCP客户端无法正常获取到ip地址,如下图:

(二)LSW2上接入的192.168.100.254网关ip欺骗导致DHCP客户端无法正常获取ip地址,解决方案

1、数据包的分歧是在LSW2发生的,所以要在LSW2上确认有DHCP地址池的192.168.100.254的正确MAC地址,并把192.168.100.254与该mac地址绑定,LSW2具体操作如下:

interface Vlanif1

ip address 192.168.100.251 255.255.255.0

arp static 192.168.100.254 00e0-fc0a-362a vid 1 interface GigabitEthernet0/0/2

2、排除非法接入LSW2的设备对网络数据包转发形成干扰,所以本例配置IPSG技术来完成,LSW2具体操作如下:

user-bind static ip-address 192.168.100.254 mac-address 00e0-fc0a-362a interface G0/0/1 vlan 1

user-bind static ip-address 192.168.100.1 mac-address 5489-98cf-510e interface G0/0/2 vlan 1

user-bind static ip-address 192.168.100.252 mac-address 5489-987f-3d65 interface G0/0/3 vlan 1

user-bind static ip-address 192.168.100.253 mac-address 00e0-fc14-58b6 interface G0/0/4 vlan 1

vlan 1

ip source check user-bind enable

3、在LSW2的各接口配置dhcp snooping,防伪DHCP的攻击,并配置dhcp server的信任接口,所以LSW2的具体操作如下:

dhcp enable

dhcp snooping enable

port-group 1

group-member GigabitEthernet0/0/2 to GigabitEthernet0/0/5

dhcp snooping enable

quit

int g 0/0/1

dhcp snooping trusted

4、完成以上攻击防御的配置后,再从PC1重新获取ip地址正常,如下图:

5、在pc1上ping网关192.168.100.254,此时只有AR2有icmp的回应包了,说明刚才的ARP静态绑定+IPSG技术+DHCP snooping技术起到了作用,防御了外接路由器的ip欺骗,外接路由器使用了网关ip地址,由IPSG技术来反向隔离,只有被绑定的ip与MAC地址及接口对应关系正确的情况下,数据包才得以转发。外接路由器是不会存在于LSW2交换机上的用户绑定列表的。所以无论接在交换机哪个口,或是更换了ip地址,都无法使用网络中的资源,从PC1上ping网关,抓包确认正确,如下图:

(三)LSW4上接入的203.204.100.254网关ip欺骗导致www.baidu.com域名无法解析,解决方案如下:

在LSW4上完成以下配置:

dhcp enable

dhcp snooping enable

user-bind static ip-address 203.204.100.254 mac-address 00e0-fc7b-354a interface G0/0/2 vlan 1

user-bind static ip-address 203.204.100.253 mac-address 5489-98a5-368b interface G0/0/4 vlan 1

user-bind static ip-address 203.204.100.1 mac-address 5489-987c-4989 interface G0/0/3 vlan 1

vlan 1

ip source check user-bind enable

interface Vlanif1

ip address 203.204.100.252 255.255.255.0

arp static 203.204.100.254 00e0-fc7b-354a vid 1 interface G0/0/2

port-group 1

group-member GigabitEthernet0/0/1

group-member GigabitEthernet0/0/3

group-member GigabitEthernet0/0/4

dhcp snooping enable

quit

interface GigabitEthernet0/0/2

dhcp snooping trusted

五、验证防御结果:

(一)跟踪pc1到www.baidu.com域名的路由,正确,如下图:

(二)PC2打开www.baidu.com域名时,到DNS server解析正确后,再跟踪访问网站站点的路径正确,如下图:

本文至此结束,希望能为无意攻击与恶作剧有意攻击提个醒,也能针对这类数据包进行有效的防御。不足之处敬请批评指正。

相关推荐
hgdlip2 分钟前
家里电脑ip地址怎么设置?详细指导
网络·tcp/ip·智能路由器·家里电脑
Shepherd06191 小时前
【Jenkins实战】Windows安装服务启动失败
运维·jenkins
安步当歌1 小时前
【WebRTC】视频发送链路中类的简单分析(下)
网络·音视频·webrtc·视频编解码·video-codec
lqj_本人2 小时前
鸿蒙next版开发:分析JS Crash(进程崩溃)
华为·harmonyos
Biomamba生信基地2 小时前
Linux也有百度云喔~
linux·运维·服务器·百度云
米饭是菜qy2 小时前
TCP 三次握手意义及为什么是三次握手
服务器·网络·tcp/ip
yaoxin5211232 小时前
第十九章 TCP 客户端 服务器通信 - 数据包模式
服务器·网络·tcp/ip
new_abc2 小时前
Ubuntu 22.04 ftp搭建
linux·运维·ubuntu
Harmony_QI2 小时前
鸿蒙北向开发环境安装指南
华为·harmonyos·鸿蒙
鹿鸣天涯2 小时前
‌华为交换机在Spine-Leaf架构中的使用场景
运维·服务器·网络