Zebra Was machst du?
Wie bist du ein böses Zebra, das es wert ist, Zebras zu beschützen?
Lassen Sie uns in diesem Video einige Modellsperren aufheben.
Ich werde Ihnen zeigen, wie Sie eine dynamische Aufwärtsinspektion implementieren. Dynamische Aufwärtsinspektion stoppt Angriffe
wie OP-Vergiftungen.
Und Mann in der Mitte greift in einem vorherigen Video an, das ich hier und unten verlinkt habe.
Ich habe Ihnen gezeigt, wie Sie Kelly oder Collie Linux verwenden, wenn Sie es vorziehen, einen Mann im mittleren Angriff durch Vergiftung
der OP-Caches von Geräten zu implementieren.
Kelly vergiftete den OP-Cache eines Windows-Geräts und eines Cisco-Routers und implementierte dann einen Mann im mittleren Angriff, bei dem
der gesamte Datenverkehr von diesem Windows-Host zu seinem Standard-Gateway führte.
Der Cisco-Fahrer wurde in diesem Fall über den Kelly-Linux-Host geroutet oder umgeschaltet, sodass Carly den gesamten Datenverkehr von
Windows zum Fahrer und von Windows zum Internet sehen konnte.
Als Beispiel konnten wir Telnet-Passwörter und HDP-Passwörter erfassen.
Sie sollten heute keine Klartextprotokolle in Ihrem Netzwerk verwenden, also sollten Sie keine Protokolle
wie HDP oder Telnet verwenden, aber wenn jemand Klartextkennwörter verwenden würde, hätte ich Sichtbarkeit dieser Kennwörter und Sichtbarkeit
der Daten, weil alle Der Datenverkehr wird über den Kelly Linux-Host gesendet.
Was in diesem Fall einen Mann im Mittelangriff umsetzte.
Wir können diese Art von Unsinn stoppen, indem wir eine dynamische OP-Inspektion implementieren.
Eine dynamische OP-Inspektion erfordert entweder DHB-Snooping oder Sie konfigurieren MAC-Adressen manuell. Diese Switches snooping oder lauschen
den HP-Anforderungen von Hosts oder Geräten an den DHB-Server und erstellen dann dynamisch Wenn Sie DHB verwenden, um
eine MAC-Adresse zu einer IP-Adresse zuzuordnen, die einer Schnittstelle zugeordnet ist.
Es heißt also, dass diese MAC-Adresse zu dieser Schnittstelle gehört.
Wenn Sie Ihre Mac-Adresse ändern, wird der Datenverkehr verweigert, und ich werde in diesem Video zeigen, dass
Kelly Linux verwendet wird.
Ich werde Ihnen also zeigen, wie Sie die dynamische HP-Snooping-OP-Inspektion implementieren und Kelly daran hindern können, Datenverkehr zu
senden, wenn sich die Mac-Adresse ändert.
Also werden wir aufhören, Vergiftungsangriffe zu stoppen.
Um es einfacher zu machen, habe ich diese Präsentation unter diesem Video hinzugefügt.
Diese Präsentation zeigt Ihnen das Netzwerk, das ich verwende, und zeigt Ihnen dann, wie Sie die dynamische
IP-Überprüfung konfigurieren.
Daher habe ich hier Links zu Cisco und anderen Websites, auf denen Sie weitere Informationen
erhalten. Ich zeige Ihnen jedoch auch, wie Sie sowohl das DHB-Snooping als auch die Dynamik der Inspektion konfigurieren.
In diesem Video werde ich Ihnen ziemlich detailliert zeigen, wie das alles funktioniert.
Verwenden Sie das Menü hier, um zu einem bestimmten Thema zu springen, wenn Sie möchten.
Ich werde Ihnen also zeigen, wie Sie DHB-Snooping einrichten, aber ich habe dies in diesem
Video noch einmal behandelt. Wenn Sie also nur den dynamischen IP-Inspektionsteil des Videos sehen möchten, springen Sie
zu dem gewünschten Zeitstempel.
Ich habe dies noch einmal unter diesem Video aufgenommen.
Diese Präsentation zeigt Ihnen, wie Sie dies einrichten und wie Sie es auf einem Cisco-Switch überprüfen.
Jetzt müssen wir zuerst das DHB-Snooping aktivieren.
Jetzt habe ich dies und viele Details in einem vorherigen Video behandelt. Alles, was ich hier tun werde,
ist, die Befehle zu kopieren und in den Schalter einzufügen.
Schauen Sie sich dieses Video an.
Wenn Sie sich ein DHB-Snooping-Video ansehen möchten, in dem dies ausführlich erläutert wird.
Okay, ich kopiere die Befehle aus dieser Präsentation und füge die Befehle in
unseren Switch ein.
Jetzt sind Sie wieder keine Topologie. Wir haben einen Cisco-Anbieter, der mit einem DHB-Server konfiguriert ist.
Schauen wir uns also zuerst an, dass hier die Rohdaten die Run Pipe zeigen.
Beginnen Sie mit DHEA P, damit ich die Konfiguration nur verschieben kann, bis das Schlüsselwort DHEA P gefunden wird, damit der Befehl
angezeigt wird.
Hier ist mein DHB-Zug.
Sie können sehen, dass das Netzwerk seinen 10 1 1 0 Schrägstrich 24 verwendet hat.
Das Standardrecht oder das Standardgateway ist der lokale Router, auf den ein DNS-Server eingestellt ist. Google Der Router hat
diese IP-Adresse 10 1 1 2 5 4 auf Gigabit 0 konfiguriert.
Diese Schnittstelle ist also mit der IP-Adresse 10 1 1 2 5 4 konfiguriert. Auf der rechten Seite
werden Geräten IP-Adressen zugewiesen. Wenn Sie show IP DHB binding eingeben, können Sie sehen, dass zwei Geräte
IP-Adressen erhalten haben.
Dies ist die IP-Adresse, die Kelly Linux zugewiesen wurde.
Dies ist die dem Windows-Computer zugewiesene IP-Adresse.
Wir können dies
überprüfen, indem wir die Befehls-IP-Adresse von Kelly verwenden.
Beachten Sie, dass dem Kelly Linux-Host und dem Windows-Computer die IP-Adresse zugewiesen ist.
Ich werde eine C- und D-Eingabeaufforderung IP-Konfiguration öffnen.
Dies ist die IP-Adresse des Windows-Computers, sodass der DHB-Server konfiguriert wurde.
Es weist den Geräten im Netzwerk IP-Adressen zu.
Was wir jetzt tun müssen, ist das Konfigurieren von DHB-Snooping auf dem Switch.
Im Moment wurde kein DHB-Snooping aktiviert, sodass Sie sehen können, dass keine DCP-Befehle aktiviert wurden und wir
die dynamische Überprüfung nicht aktiviert haben.
Okay, das erste, was ich tun werde, ist, die DHB P-Snooping-Befehle auf den Switch zu kopieren. Fügen
Sie diese
also ein und Sie können hier sehen, dass DHB-Snooping global aktiviert wurde.
Es wurde für VLAN 1 aktiviert.
Wir haben Option 82 deaktiviert und der Befehl show IP DHB Snooping zeigt uns, dass für DHB Snooping jetzt in
Version 1 aktiviert ist. Es wurden noch keine vertrauenswürdigen Ports konfiguriert.
Jetzt habe ich Ihnen noch einmal gezeigt, wie Sie das HP-Snooping konfigurieren, und ich habe
es ausführlich erklärt, damit ich das hier nicht mache.
Okay.
Der nächste Schritt besteht darin, vertrauenswürdige Ports im Hinblick auf Topologie-Gigabit zu konfigurieren. 0 0 ist ein vertrauenswürdiger Port. Okay, es kann
sich also um Topologie-Gigabit handeln.
0 0 ist die Schnittstelle, die mit dem Rotor verbunden ist. Der Rotor führt den DHB-Dienst
aus. Er weist IP-Adressen zu. Wir möchten dem CHP-Server vertrauen. Wir möchten diesem Kelly Linux-Host nicht als DHB-Server vertrauen.
Zurück auf dem Switch werde ich diese Befehle einfügen. Gigabit 0 0 ist jetzt eine vertrauenswürdige Schnittstelle. Zeigen Sie IP das DHB-Snooping.
Wir können sehen, dass Gigabit 0 0 jetzt eine vertrauenswürdige Schnittstelle ist. Jetzt können wir auch eine Grenze für DHEA
P-Anforderungen zum Stoppen erreichen Ein Denial-of-Service-Angriff, daher werde ich DCP-Nachrichten auf 10 Pakete pro Sekunde bei Gigabit 0
1 beschränken. Dies ist die Schnittstelle, die mich wieder mit dem Kelly Linux-Host verbindet. Das habe
ich im vorherigen Video ausführlich erklärt verkaufte Stück dazu
in Menge zuerst eingeben.
Also versuchen Sie es noch einmal.
Na, bitte.
Zeigen Sie also Run Interface Gigabit 00.
Wir vertrauen dieser Schnittstelle.
Wir vertrauen dieser Schnittstelle nicht.
Diese Schnittstelle Gigabit 0 1 ist ratenbegrenzt 0 0 wird vertraut.
Okay, jetzt, da ich DHB-Snooping konfiguriert habe, kann ich die dynamische Up-Inspektion konfigurieren.
Die dynamische Up-Inspektion ist ziemlich einfach zu konfigurieren. Wir werden sie global auf dem Switch konfigurieren, indem wir den
Befehl IP-Inspektion VLAN 1 verwenden, um die IP-OPP-Inspektion zu konfetti Geben Sie das VLAN an. In meinem Beispiel ist es Land 1, da alle Ports auf
dem Switch derzeit in VLAN 1 konfiguriert sind. In der realen Welt würden Sie Ihre Geräte normalerweise nicht platzieren und in einem
VLAN würden Sie sie in ein anderes VLAN stellen. Beachten Sie jetzt, was
passiert.
Auf Gigabit 02 werden bereits ungültige OP-Nachrichten empfangen.
Das ist der Windows-Host.
Wir vertrauen im Moment niemandem.
Wir blockieren grundsätzlich den gesamten Verkehr.
Der Windows-Host versucht also, es auf sein Standard-Gateway zu bringen, also versucht er, 10 1 1 2 5 4 zu erreichen.
Es gibt die IP-Adresse des Windows-Hosts. Die Mac-Adresse des Windows-Hosts versucht, zu seinem
Standard-Gateway zu gelangen, und der Datenverkehr wird abgelehnt.
Wir können das als Beispiel an den Fenstern sehen.
P. S. Wenn ich versuche, den Router anzupingen, funktioniert er nicht.
Der Verkehr wird
abgelehnt und ich möchte dies tatsächlich demonstrieren.
Ich werde die dynamische OP-Inspektion entfernen, damit sie entfernt wird. Was Sie bemerken werden, ist das P. C. die Fenster
P. C. kann den Router anpingen, aber Sie werden auch feststellen, dass der Kelly Linux-Host den P anpingen kann. C. was wir nicht wollen, dass es tut und
es kann den Router pingen, so dass Kelly beide Windows P pingen kann. C. ebenso wie der Router,
aber sobald wir die dynamische Überprüfung aktivieren, wird das Netzwerk grundsätzlich unterbrochen, da der Datenverkehr von
10 1 1 2 2 10 1 1 100 abgelehnt wird, da jetzt, wenn wir versuchen zu pingen, der Windows-Host den
Datenverkehr verweigert wird Kelly ist nicht in der Lage, den Windows-Host zu pingen, und es ist nicht möglich, sein Standard-Gateway
zu pingen. Der Windows-Host kann nicht zu seinem Standard-Gateway gelangen.
Das ist ein Problem.
Wir möchten, dass es mit seinem Standard-Gateway kommunizieren kann.
Wir setzen also Gigabit 0 0 als vertrauenswürdigen Port.
Das ist der Anschluss, der uns mit dem Rotor verbindet.
Verwenden Sie auf der Switch-Schnittstelle Gigabit 00 IP OPP-Inspektion einfach erneut ein Fragezeichen. Vertrauen Sie, dass wir
dieser Schnittstelle vertrauen werden. Zeigen Sie also die Schnittstelle Gigabit 00.
Dieser Befehl zeigt uns, dass diese Schnittstelle sowohl für das DHB-Snooping als auch für die OP-Inspektion vertrauenswürdig
ist. C. Ping den Rotor.
Im Moment können wir sehen, dass es nicht kann.
Wir bekommen immer noch eine ganze Reihe von Ablehnungen auf der Switch-Show.
IPD HP Snooping Schauen wir uns die Bindungen an.
Beachten Sie das Problem.
Derzeit gibt es keine D HP-Bindungen.
Wir verlassen uns auf die D HP-Bindungsdatenbank, um eine dynamische OP-Inspektion zu implementieren.
Wir müssen die Bindungen in der Datenbank haben, damit die Dynamik der Inspektion funktioniert.
Daher erhalten wir diese Ablehnungen im Moment ständig, da es keinen Eintrag in der DHB-Snooping-Datenbank
gibt.
Also werde ich die IP-Konfigurations-Schrägstrich-Version anführen, um meine IP-Adresse freizugeben, und dann Erneuern eingeben, um
die IP-Adresse auf dem Windows-Computer zu erneuern.
Diese IP-Adresse wird jetzt wieder auf dem Switch angezeigt. IP-DHB-Snooping-Bindung anzeigen. Wir können sehen, dass dieser Mac-Adresse diese IP-Adresse
zugewiesen wurde, und wir können sehen, dass über DHB-Snooping in VLAN 1 die Schnittstelle, auf der sich dieser
Host befindet, Gigabit 02 ist zurück an den Fenstern.
P. S. Kann es jetzt sein Standard-Gateway anpingen?
Und die Antwort lautet: Ja, das kann es.
Denken Sie also daran, dass die Teile IP-Adressen anfordern müssen und diese IP-Adressen über DHEA zugewiesen werden
müssen, da wir das HP-Snooping verwenden.
Wir müssen DHB dazu bringen, das Gespräch mitzuhören, um zu sehen, dass der Fahrer
dem P die IP-Adresse zuweist. C. Aus diesem Grund können die
DHB-Snooping-Datenbanken und die dynamische Überprüfung diese Datenbank nutzen, um Geräte zuzulassen.
Auf dem Switch, der die IP-DHB-Snooping-Bindung anzeigt, können wir also sehen, dass diese IP-Adresse
dieser Mac-Adresse auf dieser Schnittstelle zugewiesen wurde.
Jetzt kann Kelly das Standard-Gateway nicht bezahlen, da der DHB-Snooping-Datenbank keine IP-Adresse hinzugefügt
wurde.
Also werde ich Verbindungen in Kelly bearbeiten.
Ich gehe zu den Einstellungen für IP Version 4. Deaktivieren
Sie die Schnittstelle. Gehen Sie zurück und
verwenden Sie DHEA PI. Die Konfiguration zeigt uns, dass die
IP-Adresse die IP-DHB-Bindung auf dem Switch anzeigt. Sie können sehen, dass diese IP-Adresse zugewiesen
wurde zu dieser Mac-Adresse, die die Kelly Lennox-Host-MAC-Adresse ist, endet mit 5 a 0 0, was wir hier sehen.
So kann der Kelly Lennox-Host das Standard-Gateway anpingen.
Ja, kann es.
Zeigen Sie also auf dem Switch erneut die IP DHEA-Snooping-Bindung an.
Wir können sehen, dass zwei IP-Adressen bestimmten MAC-Adressen zugewiesen wurden, um die IP-Überprüfung zu zeigen.
Also gibt es wieder den Befehl.
Wir können sehen, dass es für Kalbfleisch aktiviert ist und so viele Pakete verworfen wurden.
Jetzt auf Kelly noch einmal habe ich Konfiguration zeigt mir, dass dies die MAC-Adresse des Hosts ist, die
mit 5 a 0 0 auf dem Switch endet. Zeigen Sie der IP DHB-Snooping-Datenbank, dass der MAC-Adresse diese
IP-Adresse zugewiesen wurde. Kelly kann das Standard-Gateway bezahlen.
Noch einmal diese IP-Adresse dieser MAC-Adresse Ich werde die MAC-Adresse mit dem Mac-Wechsler ändern. Die Mac-Änderung sagt uns, dass wir die MAC-Adresse
mit dem S sehen können. Als Option können wir dann
eine zufällige MAC-Adresse mithilfe der Strichleiste oder des Bindestrichs erstellen. Mac ändert die Ethernet-Null des Dash, die die aktuelle
Mac-Adresse ist.
Das ist die permanente MAC-Adresse, die noch einmal nach oben rollt.
Das ist die MAC-Adresse, die wir zuvor mit meiner Konfiguration gesehen haben.
Erstellen wir also eine zufällige MAC-Adresse.
Die MAC-Adresse, die uns mitgeteilt wurde, ist jetzt diese.
Ich habe also eine Konfiguration, die uns zeigt, dass dies die neue Mac-Adresse ist, der wir eine zufällige MAC-Adresse gegeben haben.
Können wir die Standard-Gateway-Antwort bezahlen? Nein, wir können nicht und wir sehen viele
Ablehnungen auf dem Switch.
Sie können nicht einfach eine zufällige MAC-Adresse erstellen oder versuchen, Ops-Spoofing oder OP-Vergiftung zu implementieren,
da jetzt die dynamische Überprüfung des Switch aktiviert ist.
Und ich werde einfach aufhören, Kelly anzupingen.
Die einzige zulässige MAC-Adresse ist die MAC-Adresse auf der Schnittstelle Gigabit 0 1.
Diese MAC-Adresse ist bei Gigabit 02 zulässig.
Durch zufälliges Ändern meiner Mac-Adresse mit dem Mac-Wechsler von dieser Adresse in diese Adresse wird nun der Datenverkehr verweigert. Außerdem
wird verhindert, dass jemand eine Anwendung wie eine Kappe verwendet, um die OP-Caches zu vergiften.
Vorhin habe ich Ihnen noch einmal gezeigt, wie Sie eine Obergrenze verwenden können, um Hosts im Netzwerk zu vergiften. Wenn ich also versuche, nach
Hosts zu suchen, wird der Datenverkehr vom Switch aufgrund einer dynamischen Überprüfung verweigert, durch die ich
keine Vergiftung implementieren kann Verwendung an einer Kappe anders als zuvor, als ich es in diesem Video
demonstrierte, weil wir eine dynamische OP-Inspektion aktiviert haben.
Okay.
Noch einmal ein sehr langes Video, aber ich hoffe, ich habe Ihnen deutlich gezeigt, wie Sie
eine Inspektionsdynamik einrichten und testen können. Sie können diese Präsentation erneut herunterladen, wenn Sie eine Zusammenfassung unserer Arbeit haben
möchten und dies möchten Bewahren Sie dies als Referenz auf.