Zebra Qu'est-ce que tu fais.
Comment valez-vous un méchant zèbre tout en gardant un zèbre.
Brisons quelques verrous de modèle dans cette vidéo.
Je vais vous montrer comment implémenter l'inspection dynamique dynamique L'inspection dynamique dynamique arrête les attaques telles
que l'empoisonnement OP.
Et l'homme au milieu attaque dans une vidéo précédente que j'ai liée ici et ci-dessous, je
vous ai montré comment utiliser Kelly ou Collie Linux si vous préférez implémenter un homme au milieu de l'attaque en
empoisonnant les caches OP des appareils.
Nous avons eu Kelly empoisonnant le cache OP d'un périphérique Windows et d'un routeur Cisco, puis implémentant un homme au milieu de l'attaque,
où tout le trafic de cet hôte Windows vers sa passerelle par défaut.
Le pilote Cisco a été acheminé ou commuté dans ce cas via l'hôte Kelly Linux. Car Carly a pu voir tout
le trafic de Windows vers le pilote et les fenêtres vers Internet.
Par exemple, nous avons pu capturer des mots de passe telnet et des mots de passe HDP.
Vous ne devriez pas utiliser de protocoles en texte clair dans votre réseau aujourd'hui, vous ne devriez donc pas
utiliser de protocoles tels que HDP ou telnet, mais si quelqu'un utilisait des mots de passe en texte clair, j'aurais une visibilité de ces
mots de passe et des données parce que tous le trafic est envoyé via l'hôte Kelly linux.
Ce qui dans ce cas implémentait un homme au milieu de l'attaque.
Nous pouvons arrêter ce genre de non-sens en mettant en œuvre une inspection OP dynamique
L'inspection OP dynamique nécessite soit l'espionnage DHB, soit que vous configuriez manuellement les adresses MAC, ces commutateurs espionnant
ou écoutant les demandes HP des hôtes ou des périphériques vers le serveur DHB, puis créant dynamiquement lors de l'utilisation de
DHB espionnant une adresse MAC à une adresse IP mappant à une interface.
Il est donc dit que cette adresse MAC, cette adresse IP appartient à cette interface.
Si vous changez votre adresse mac, le trafic est refusé et je vais démontrer que l'utilisation de
Kelly Linux dans cette vidéo.
Je vais donc vous montrer comment vous pouvez mettre en œuvre l'inspection OP dynamique d'espionnage HP, puis empêcher Kelly d'envoyer
du trafic lorsqu'il change son adresse Mac.
Nous allons donc arrêter d'arrêter les attaques d'empoisonnement.
Maintenant, pour faciliter les choses, j'ai ajouté cette présentation sous cette vidéo.
Cette présentation vous montre le réseau que j'utilise, puis vous montre comment configurer l'inspection
IP dynamique.
J'ai donc ici des liens vers Cisco et d'autres sites Web qui vous donnent
plus d'informations, mais je vous montre également comment configurer à la fois l'espionnage DHB et la dynamique d'inspection.
Donc, dans cette vidéo, je vais vous montrer en détail comment tout cela fonctionne.
Utilisez le menu ici pour passer à un sujet spécifique si vous le souhaitez.
Je vais donc vous montrer comment configurer l'espionnage DHB, mais je l'ai couvert une fois de
plus dans cette vidéo, donc si vous voulez simplement voir la partie d'inspection IP dynamique de la vidéo, passez à
l'horodatage spécifique qui vous intéresse.
Je l'ai à nouveau inclus sous cette vidéo.
Cette présentation vous montre comment configurer cela, comment le vérifier sur un commutateur Cisco.
Maintenant, la première chose que nous devons faire est d'activer l'espionnage DHB.
Maintenant, j'ai couvert cela et beaucoup de détails dans une vidéo précédente, donc tout ce que je vais faire
ici est de copier et coller les commandes dans le commutateur.
Jetez un œil à cette vidéo.
Si vous voulez regarder une vidéo d'espionnage DHB qui en discute en détail.
D'accord, ce que je vais faire, c'est copier les commandes de cette présentation et coller les commandes
sur notre commutateur.
Maintenant, vous n'êtes plus une topologie, nous avons un Cisco plus large, ce pilote est configuré avec un serveur DHB.
Voyons donc d'abord ce que sont les données brutes montrent le tuyau d'exécution.
Commencez DHEA P qui me permet juste de fausser la configuration jusqu'à ce que le mot clé DHEA P soit trouvé donc il y a
la commande.
Voici mon pull DHB.
Vous pouvez voir que le réseau a utilisé sa barre oblique 10 1 1 0 24.
La passerelle par défaut droite ou par défaut est le routeur local un serveur DNS est configuré pour google le routeur a
cette adresse IP 10 1 1 2 5 4 configurée sur gigabit 0.
Cette interface est donc configurée avec l'adresse IP 10 1 1 2 5 4 et la droite alloue des adresses IP
aux appareils et nous pouvons voir qu'en tapant show IP DHB binding nous pouvons voir que deux appareils ont reçu
des adresses IP.
Il s'agit de l'adresse IP attribuée à Kelly Linux.
Il s'agit de l'adresse IP attribuée à l'ordinateur Windows.
Nous pouvons le
vérifier en utilisant l'adresse IP de commande sur Kelly.
Notez qu'il y a l'adresse IP allouée à l'hôte Kelly Linux et sur l'ordinateur Windows.
Je vais ouvrir une configuration IP d'invite C et D.
Il s'agit de l'adresse IP de l'ordinateur Windows, le serveur DHB a donc été configuré.
Il attribue des adresses IP aux appareils du réseau.
Ce que nous devons faire maintenant est de configurer la surveillance DHB sur le commutateur.
Pour le moment, aucun espionnage DHB n'a été activé, vous pouvez donc voir qu'aucune commande DCP n'a été activée et que
nous n'avons pas activé l'inspection dynamique vers le haut.
D'accord, la première chose que je vais faire est de copier les commandes d'espionnage DHB P sur le
commutateur, alors collez-les
et vous pouvez voir ici que l'espionnage DHB a été activé globalement.
Il a été activé pour VLAN 1.
Nous avons désactivé l'option 82 et la commande show IP DHB snooping nous montre que pour DHB snooping est maintenant activé
sur v 1 aucun port de confiance n'a encore été configuré.
Maintenant, une fois de plus, je vous ai déjà montré comment configurer la surveillance HP et je
l'ai expliqué en détail, donc je ne le fais pas ici.
D'accord.
L'étape suivante consiste à configurer les ports approuvés en gardant à l'esprit que la topologie gigabit 0 0
est un port approuvé.
0 0 est l'interface qui se connecte au rotor, le rotor exécute le service DHB, il alloue des adresses
IP, nous voulons faire confiance au serveur CHP, nous ne voulons pas faire confiance à cet hôte Kelly linux en tant que serveur DHB.
Donc, de retour sur le commutateur, je vais coller ces commandes gigabit 0 0 est maintenant une interface de confiance afficher IP la surveillance DHB,
nous pouvons voir que le gigabit 0 0 est maintenant une interface de confiance maintenant, nous pouvons également atteindre une limite DHEA P
demandes d'arrêt une attaque par déni de service, donc je vais limiter les messages DCP à 10 paquets par seconde sur gigabit
0 1, qui est l'interface qui me connecte à nouveau à l'hôte Kelly linux. J'ai expliqué que dans
beaucoup de détails dans la vidéo précédente pièce vendue à celle
en premier à taper quantité.
Alors essayez encore.
Et voilà.
Donc, affichez l'interface d'exécution gigabit 00.
Nous faisons confiance à cette interface.
Nous ne faisons pas confiance à cette interface.
Cette interface gigabit 0 1 est à débit limité 0 0 est approuvée.
Bon maintenant que j'ai configuré la surveillance DHB, je peux configurer l'inspection dynamique dynamique
L'inspection dynamique dynamique est assez simple à configurer ce que nous allons faire est de le configurer globalement sur le
commutateur en utilisant la commande IP inspection VLAN 1 so confetti IP OPP inspection spécifiez le VLAN mon exemple c'est v land 1 parce que tous les
ports sur le commutateur sont actuellement configurés dans VLAN 1 maintenant généralement dans le monde réel vous ne mettriez pas vos appareils et
VLAN vous les mettriez dans un VLAN différent remarquez maintenant ce qui se
passe.
Nous voyons déjà des messages OP non valides reçus sur le gigabit 02.
C'est l'hôte Windows.
Nous ne faisons confiance à personne pour le moment.
Nous bloquons essentiellement tout le trafic.
L'hôte Windows essaie donc de l'obtenir sur sa passerelle par défaut, il essaie donc de se rendre à 10 1 1 2 5 4.
Il y a l'adresse IP de l'hôte Windows. L'adresse Mac de l'hôte Windows tente d'accéder
à sa passerelle par défaut et le trafic est refusé.
Nous pouvons voir cela comme un exemple sur les fenêtres.
P. S. Si j'essaie de cingler le routeur, cela ne fonctionnera pas.
Le trafic
est refusé et permettez-moi de le démontrer.
Je vais supprimer l'inspection OP dynamique afin qu'elle soit supprimée et ce que vous remarquerez est le P. C. les fenêtres
P. C. peut cingler le routeur, mais ce que vous remarquerez également, c'est que l'hôte Kelly Linux peut cingler le P. C. ce que nous ne voulons pas qu'il fasse
et il peut cingler le routeur afin que Kelly puisse cingler les deux fenêtres P. C. ainsi que le routeur, mais
dès que nous activons l'inspection dynamique, nous cassons essentiellement le réseau parce que le trafic de 10 1 1
2 2 10 1 1 100 est refusé car maintenant, lorsque nous essayons de faire un ping, les hôtes hébergent le trafic est refusé Kelly n'est
pas en mesure d'envoyer une requête ping à l'hôte Windows et il n'est pas en mesure d'envoyer une requête ping à sa passerelle par
défaut, l'hôte Windows ne peut pas accéder à sa passerelle par défaut.
C'est un problème.
Nous voulons qu'il puisse parler à sa passerelle par défaut.
Donc, ce que nous allons faire, c'est définir le gigabit 0 0 comme port de confiance.
C'est le port qui nous relie au rotor.
Donc, sur l'interface du commutateur gigabit 00 IP OPP inspection, utilisez simplement le point d'interrogation à nouveau confiance, nous
allons faire confiance à cette interface, donc affichez l'interface d'exécution gigabit 00.
Cette commande nous montre que cette interface est fiable pour l'espionnage DHB ainsi que pour l'inspection OP, de même que les
fenêtres P. C. cingler le rotor.
Pour le moment, nous pouvons voir que cela ne peut pas.
Nous obtenons toujours tout un tas de refus sur le
commutateur show IPD HP snooping, regardons les liaisons.
Remarquez le problème.
Il n'y a pas de fixations D HP pour le moment.
Nous nous appuyons sur la base de données des liaisons D HP pour mettre en œuvre l'inspection OP dynamique.
Nous devons avoir les liaisons dans la base de données pour que la dynamique d'inspection fonctionne.
Donc, nous obtenons constamment ces refus pour le moment car il n'y a pas d'entrée dans la base de données DHB
snooping.
Je vais donc en haut de la version slash de la configuration IP pour libérer mon adresse IP, puis je
vais taper renouveler pour renouveler l'adresse IP sur l'ordinateur Windows.
On lui donne maintenant cette adresse IP sur la liaison show snooping IP DHB du commutateur, nous pouvons voir que cette adresse
mac a reçu cette adresse IP et nous pouvons voir que via DHB snooping sur VLAN 1, l'interface où réside cet
hôte est gigabit 02, donc de retour sur les fenêtres.
P. S. Peut-il maintenant exécuter une commande ping sur sa passerelle par défaut.
Et la réponse est oui, c'est possible.
N'oubliez donc pas que parce que nous utilisons l'espionnage HP, les éléments doivent demander des adresses IP et ces adresses
IP doivent être attribuées via la DHEA.
Nous devons avoir DHB snooping écouter la conversation en voyant que le pilote attribue
l'adresse IP au P. C. et à cause de cela, le boulon des
bases de données DHB et l'inspection dynamique peuvent tirer parti de cette base de données pour autoriser les périphériques.
Encore une fois, sur le commutateur show IP DHB snooping binding, nous pouvons voir que cette adresse IP a
été allouée à cette adresse Mac sur cette interface.
Kelly peut désormais bloquer le paiement de la passerelle par défaut car aucune adresse IP n'a été ajoutée à la base de données
d'espionnage DHB.
Je vais donc modifier les connexions dans Kelly.
Je vais aller aux paramètres IP version 4 désactiver l'interface revenir
en arrière et l'utiliser pour utiliser DHEA PI config
nous montre qu'il a son adresse IP afficher la liaison IP DHB
sur le commutateur, vous pouvez voir que cette adresse IP a été allouée à cette adresse mac
qui est l'adresse MAC de l'hôte Kelly Lennox se termine par 5 a 0 0 qui est ce que nous voyons ici.
L'hôte Kelly Lennox peut également envoyer une requête ping à la passerelle par défaut.
Oui il peut.
Donc, sur le commutateur, montrez à nouveau la liaison d'espionnage IP DHEA.
Nous pouvons voir que deux adresses IP ont été attribuées à des adresses MAC spécifiques.
Il y a donc à nouveau la commande.
Nous pouvons voir qu'il est activé pour le veau et qu'un si grand nombre de paquets ont été supprimés.
Maintenant, sur Kelly, une fois de plus, la configuration me montre que c'est l'adresse MAC de l'hôte se terminant par
5 a 0 0 sur la base de données IP DHB snooping que l'adresse MAC a été affectée à
cette adresse IP que Kelly peut payer par défaut.
Encore une fois cette adresse IP, cette adresse MAC, je vais changer l'adresse MAC en utilisant le changeur Mac. Le changement Mac nous dit que nous pouvons
voir l'adresse MAC en utilisant S. en option, puis nous pouvons créer une adresse
MAC aléatoire à l'aide de la barre de tiret ou d'un trait d'union, de sorte que Mac change le zéro Ethernet du tableau de bord qui est
l'adresse mac actuelle.
C'est l'adresse MAC permanente qui défile encore une fois.
C'est l'adresse MAC que nous avons vue précédemment avec I config.
Créons donc une adresse MAC aléatoire.
L'adresse MAC qu'on nous a dit est maintenant celle-ci.
J'ai donc config nous montre que c'est la nouvelle adresse mac que nous avons reçu une adresse MAC aléatoire.
Pouvons-nous payer la réponse par défaut de la passerelle est non, nous ne pouvons pas et nous voyons
beaucoup de refus sur le commutateur.
Vous ne pouvez pas simplement créer une adresse MAC aléatoire ou essayer d'implémenter l'usurpation des opérations ou l'empoisonnement
OP, car nous avons maintenant l'inspection dynamique activée sur le commutateur.
Et je vais juste arrêter le ping sur Kelly.
La seule adresse MAC autorisée est cette adresse MAC sur l'interface gigabit 0 1.
Cette adresse MAC est autorisée sur le gigabit 02.
Donc, en modifiant aléatoirement mon adresse mac à l'aide du changeur Mac de cette adresse à cette adresse, le trafic est
désormais refusé, cela empêche également quelqu'un d'utiliser une application telle qu'un plafond pour empoisonner les caches OP.
Encore une fois auparavant, je vous ai montré comment l'utiliser pour empoisonner les hôtes du réseau, donc si j'essaie de rechercher des hôtes maintenant
que le trafic va être refusé par le commutateur en raison de l'inspection dynamique, je ne peux
pas implémenter l'empoisonnement par utiliser à un plafond contrairement à ce que je démontrais dans cette vidéo parce
que nous avons activé une inspection OP dynamique.
D'accord.
Très longue vidéo encore une fois mais j'espère que je vous ai montré clairement comment mettre en place
une dynamique d'inspection et comment la tester vous pouvez à nouveau télécharger cette présentation si vous voulez avoir un résumé de ce
que nous avons fait et que vous voulez garder cela comme référence.