|
| 1.2, Dyr (??), 19:08, 02/12/2008 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Там несколько автором, вики же. Даже я там приложился =)
| | |
| 1.5, Arti (??), 14:08, 03/12/2008 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
Честно говоря я не понял преимущества DHCP snooping, по карайней мере в этой статье они не раскрыты (неудачный пример топологии ?).
Проще тогда запретить при помощи ACL работу DHCP-серверов на клиентских портах, а запросы DHCP релеить в отдельный vlan например в "управленческий".
| | |
| |
| 2.6, xguru (?), 15:08, 03/12/2008 [^] [^^] [^^^] [ответить]
| +/– | |
ACL'ами всю логику DHCP-snooping'а будет прописать довольно сложно.
Например, как прописать такое:
Отбросить пакет, если он пришёл через ненадёжный (untrusted) порт,
если он содержит сообщение DHCPRELEASE или DHCPDECLINE с MAC-адресом из базы данных привязки DHCP, но информация об интерфейсе в таблице не совпадает с интерфейсом, на котором был получен пакет?
То есть, грубо говоря, адрес мы выдали одному,
а отказывается от него другой через другой порт.
Как это запретить ACLами?
| | |
| |
| 3.7, Arti (??), 15:48, 03/12/2008 [^] [^^] [^^^] [ответить]
| +/– | |
Привязывать к MAC идея изначально плохая, хотя возможно и есть случаи когда это делать необходимо.
Привязку луше делать через поля 82-й опци DHCP.
Если привязка сделана через 82 опцию (к порту свича) такая атака мало эффективна, по большому сету можно вообще не обрабатывать DHCPRELEASE на сервере, если схема один адрес - один порт.
Вот строить ACL на основании DHCP-relay или привязывать MAC к порту - это более на мой взгляд интересно, правда оговорюсь, говорить об этом без конкретной схемы сети бесполезно.
| | |
| |
| 4.8, xguru (?), 19:51, 03/12/2008 [^] [^^] [^^^] [ответить]
| +/– | |
> Если привязка сделана через 82 опцию (к порту свича) такая атака мало эффективна, по большому сету можно вообще не обрабатывать DHCPRELEASE на сервере, если схема один адрес - один порт.
Я не совсем понял, вы предлагаете вообще MAC-адреса не использовать при выдаче IP-адресов
DHCP-сервером, а ориентироваться только на порт коммутатора?
| | |
| |
| 5.11, Arti (??), 11:25, 04/12/2008 [^] [^^] [^^^] [ответить]
| +/– |
Если политика один "порт - один адрес" то да, привязывать к MAC смысла я не вижу.
| | |
|
|
|
|
| 1.9, pavlinux (ok), 21:50, 03/12/2008 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Можно вопрос, а что за идиоты открывают DHCP на внешнем порту, который смотрит интернет???
| | |
| |
| 2.10, xguru (?), 00:55, 04/12/2008 [^] [^^] [^^^] [ответить]
| +/– |
>Можно вопрос, а что за идиоты открывают DHCP на внешнем порту, который
>смотрит интернет???
А где там инет?
| | |
|
|
