Zebra Che stai facendo.
Come vali una brutta zebra a guardia della zebra.
Rompiamo alcuni blocchi modello in questo video.
Ti mostrerò come implementare l'ispezione dinamica in su L'ispezione dinamica in su interrompe gli attacchi come
avvelenamento da OP.
E l'uomo nel mezzo attacca in un video precedente che ho collegato qui e in
basso ti ho mostrato come usare Kelly o Collie Linux se preferisci implementare un uomo nel mezzo dell'attacco avvelenando
le cache dei dispositivi OP.
Abbiamo avuto Kelly avvelenare la cache OP di un dispositivo Windows e un router Cisco e quindi implementare un uomo nel mezzo dell'attacco
in cui tutto il traffico da quell'host Windows al suo gateway predefinito.
Il pilota Cisco è stato instradato o commutato in questo caso tramite l'host Linux Kelly, quindi Carly è stata in grado di
vedere tutto il traffico da Windows al pilota e da Windows a Internet.
Ad esempio, siamo stati in grado di acquisire password telnet e password HDP.
Non dovresti usare protocolli di testo chiaro nella tua rete oggi, quindi non dovresti usare
protocolli come HDP o telnet ma se qualcuno avesse usato password di testo chiaro avrei visibilità di quelle password e
visibilità dei dati perché tutti il traffico viene inviato tramite l'host Linux Kelly.
Che in questo caso ha implementato un uomo nel mezzo dell'attacco.
Siamo in grado di bloccare questo tipo di assurdità implementando l'ispezione OP dinamica L'ispezione
OP dinamica richiede lo snooping DHB o la configurazione manuale degli indirizzi MAC su questi switch fondamentalmente
snooping o ascolto delle richieste HP da host o dispositivi sul server DHB e quindi la creazione dinamica quando
si utilizza DHB snooping un indirizzo MAC per mappare l'indirizzo IP su un'interfaccia.
Quindi dice che questo indirizzo MAC questo indirizzo IP appartiene a questa interfaccia.
Se cambi il tuo indirizzo mac, il traffico viene negato e lo dimostrerò usando Kelly
Linux in questo video.
Quindi ti mostrerò come è possibile implementare l'ispezione OP dinamica snooping HP e quindi impedire a Kelly di inviare
traffico quando cambia il suo indirizzo Mac.
Quindi smetteremo di smettere di avvelenare gli attacchi.
Ora per semplificare ho aggiunto questa presentazione sotto questo video.
Questa presentazione mostra la rete che sto utilizzando e quindi ti mostra come configurare l'ispezione
IP dinamica.
Quindi ho collegamenti qui a Cisco e ad altri siti Web che offrono
maggiori informazioni, ma vi mostro anche come configurare sia lo snooping DHB che la dinamica dell'ispezione.
Quindi in questo video ti mostrerò molti dettagli su come tutto questo funziona.
Utilizzare il menu qui per passare a un argomento specifico, se lo si desidera.
Quindi ti mostrerò come impostare lo snooping DHB ma l'ho trattato ancora una volta in
questo video, quindi se vuoi solo vedere la parte di ispezione IP dinamica del video, passa al
timestamp specifico di interesse.
L'ho incluso di nuovo sotto questo video.
Questa presentazione mostra come configurarlo come verificarlo su uno switch Cisco.
Ora la prima cosa che dobbiamo fare è abilitare lo snooping DHB.
Ora ho coperto questo e molti dettagli in un video precedente, quindi tutto ciò che farò
qui è copiare e incollare i comandi nello switch.
Dai un'occhiata a questo video.
Se vuoi guardare un video snooping DHB che ne discute in molti dettagli.
Okay, quindi quello che farò è copiare i comandi da questa presentazione e incollare i comandi
sul nostro interruttore.
Ora non sei di nuovo topologia, abbiamo un Cisco più ampio, questo pilota è configurato con un server DHB.
Quindi vediamo che prima ecco la pipe di esecuzione dei dati grezzi.
Inizia DHEA P che mi permette di vacillare la configurazione fino a quando non viene trovata la parola chiave DHEA P, quindi c'è
il comando.
Ecco la mia attrazione DHB.
Puoi vedere che la rete ha usato la sua barra 10 1 1 0 24.
Il gateway predefinito destro o predefinito è il router locale su cui un server DNS è impostato su Google. Il router ha
questo indirizzo IP 10 1 1 2 5 4 configurato su gigabit 0.
Quindi questa interfaccia è configurata con l'indirizzo IP 10 1 1 2 5 4 e il diritto sta allocando gli
indirizzi IP ai dispositivi e possiamo vedere che digitando show IP DHB binding possiamo vedere che due dispositivi hanno
ricevuto indirizzi IP.
Questo è l'indirizzo IP assegnato a Kelly Linux.
Questo è l'indirizzo IP assegnato al computer Windows.
Possiamo verificarlo
utilizzando il comando indirizzo IP su Kelly.
Si noti che c'è l'indirizzo IP assegnato all'host Linux Kelly e sul computer Windows.
Aprirò un prompt di configurazione C e D IP.
Questo è l'indirizzo IP del computer Windows, quindi il server DHB è stato configurato.
Sta allocando gli indirizzi IP ai dispositivi nella rete.
Quello che dobbiamo fare ora è configurare lo snooping DHB sullo switch.
Al momento nessuno snooping DHB è stato abilitato, quindi puoi vedere che nessun comando DCP è stato abilitato
e non abbiamo abilitato il controllo dinamico.
Ok, quindi la prima cosa che farò è copiare i comandi di snooping DHB P sullo switch, quindi incollare
quelli in e
puoi vedere qui che lo snooping DHB è stato abilitato a livello globale.
È stato abilitato per VLAN 1.
Abbiamo disabilitato l'opzione 82 e il comando show IP DHB snooping ci mostra che lo snooping DHB è ora abilitato
sulla v 1 non sono ancora state configurate porte affidabili.
Ora ancora una volta ti ho mostrato in precedenza come configurare lo snooping HP e l'ho
spiegato in molti dettagli, quindi non lo sto facendo qui.
Va bene.
Il prossimo passo è configurare le porte fidate in mente la topologia gigabit 0 0 è una porta fidata Va bene
quindi potrebbe topologia gigabit.
0 0 è l'interfaccia che si collega al rotore su cui il rotore sta eseguendo il servizio DHB che
sta allocando gli indirizzi IP che vogliamo fidare del server CHP di cui non vogliamo fidarci questo host Linux Kelly come server DHB.
Quindi tornando allo switch ho intenzione di incollare quei comandi gigabit 0 0 ora è un'interfaccia affidabile mostra IP lo snooping DHB possiamo vedere
che gigabit 0 0 ora è un'interfaccia affidabile ora possiamo anche raggiungere un limite che DHEA P richiede di fermare un attacco
denial of service, quindi ho intenzione di limitare il limite dei messaggi DCP a 10 pacchetti al secondo su gigabit
0 1, che è l'interfaccia che mi collega di nuovo all'host Linux Kelly, ho spiegato che in
molti dettagli nel video precedente il pezzo venduto a quello deve
digitare prima la quantità.
Quindi riprova.
Eccoci.
Quindi show run interfaccia gigabit 00.
Ci fidiamo di questa interfaccia.
Non ci fidiamo di questa interfaccia.
Questa interfaccia gigabit 0 1 ha un tasso di attendibilità 0 0 è attendibile.
Ok ora che ho configurato lo snooping DHB posso configurare l'ispezione dinamica
su L'ispezione dinamica su è abbastanza semplice da configurare ciò che faremo è configurarlo globalmente sullo switch usando
il comando Controllo IP VLAN 1 così coriandoli Controllo OPP IP specifica la VLAN il mio esempio è v land 1 perché tutte le
porte sullo switch sono attualmente configurate in VLAN 1 ora in genere nel mondo reale non metteresti i tuoi dispositivi e
una VLAN li inseriresti in una VLAN diversa ora noti cosa sta
succedendo.
Stiamo già vedendo messaggi OP non validi ricevuti su gigabit 02.
Questo è l'host Windows.
Al momento non ci fidiamo di nessuno.
Stiamo praticamente bloccando tutto il traffico.
Quindi l'host Windows sta provando a portarlo al suo gateway predefinito, quindi sta cercando di arrivare a 10 1 1 2 5 4.
C'è l'indirizzo IP dell'host Windows l'indirizzo Mac dell'host Windows che tenta di raggiungere
il gateway predefinito e il traffico viene negato.
Possiamo vederlo come esempio sulle finestre.
P. S. Se provo a eseguire il ping del router, non funzionerà.
Il traffico è
negato e in realtà mi permetta di dimostrarlo.
Ho intenzione di rimuovere l'ispezione OP dinamica in modo che venga rimosso e ciò che noterai è il P. C. le finestre
P. C. può eseguire il ping del router, ma noterai anche che l'host Kelly Linux può eseguire il ping del P. C. che non vogliamo che faccia e può eseguire il
ping del router in modo che Kelly possa eseguire il ping di entrambe le finestre P. C. così come il router ma
non appena abilitiamo l'ispezione dinamica, fondamentalmente interrompiamo la rete perché viene negato il traffico da 10 1 1
2 2 10 1 1 100 perché ora quando proviamo a eseguire il ping diciamo che l'host di Windows nega il traffico Kelly non
è in grado di eseguire il ping dell'host di Windows e non è in grado di eseguire il ping del gateway predefinito
che l'host di Windows non può raggiungere al gateway predefinito.
Questo é un problema.
Vogliamo che sia in grado di parlare con il suo gateway predefinito.
Quindi quello che faremo è impostare gigabit 0 0 come porta attendibile.
Questa è la porta che ci collega al rotore.
Quindi sull'interfaccia switch Gigabit 00 IP OPP ispezione basta usare di nuovo il punto interrogativo fidarsi
che ci fideremo di quell'interfaccia, quindi mostrare l'interfaccia Run Gigabit 00.
Questo comando ci mostra che questa interfaccia è affidabile per lo snooping DHB e per l'ispezione OP, quindi ora
Windows P. C. ping il rotore.
Al momento possiamo vedere che non può.
Stiamo ancora ottenendo un sacco di negazioni sullo switch show
IPD HP snooping diamo un'occhiata ai collegamenti.
Si noti il problema.
Non ci sono attacchi D HP al momento.
Facciamo affidamento sul database dei collegamenti D HP per implementare l'ispezione OP dinamica.
Dobbiamo avere le associazioni nel database affinché la dinamica dell'ispezione funzioni.
Quindi al momento riceviamo costantemente queste negazioni perché non esiste alcuna voce nel database di snooping
DHB.
Quindi andrò in cima alla versione della barra di configurazione IP per rilasciare il mio indirizzo IP e poi
scriverò rinnovo per rinnovare l'indirizzo IP sul computer Windows.
Ora viene restituito questo indirizzo IP sullo switch show IP DHB snooping binding possiamo vedere che a questo indirizzo mac
è stato assegnato questo indirizzo IP e possiamo vedere che tramite snooping DHB su VLAN 1 l'interfaccia in cui
risiede quell'host è gigabit 02 quindi di nuovo alle finestre.
P. S. Ora può eseguire il ping del gateway predefinito.
E la risposta è sì, può.
Quindi ricorda perché stiamo usando lo snooping HP che i pezzi devono richiedere indirizzi IP e quegli
indirizzi IP devono essere assegnati tramite DHEA.
Dobbiamo fare in modo che snobing DHB ascolti durante la conversazione, visto che al pilota viene
assegnato l'indirizzo IP a P. C. e quindi, a causa di ciò, i
database di snooping DHB scappano e l'ispezione dinamica può sfruttare quel database per consentire i dispositivi.
Quindi di nuovo sullo switch mostra l'associazione snooping IP DHB possiamo vedere che questo indirizzo IP è stato
assegnato a questo indirizzo Mac su questa interfaccia.
Ora Kelly non può pagare il gateway predefinito perché non è stato aggiunto un indirizzo IP al database
snooping DHB.
Quindi quello che farò è modificare le connessioni in Kelly.
Ho intenzione di andare alle impostazioni della versione 4 dell'IP disabilitare
l'interfaccia tornare indietro e farlo usare DHEA PI
have config ci mostra che ha il suo indirizzo IP mostra
il legame IP DHB sullo switch puoi vedere che questo indirizzo IP è stato assegnato a questo
indirizzo mac che è l'indirizzo MAC dell'host Kelly Lennox termina in 5 a 0 0 che è quello che vediamo qui.
Quindi l'host Kelly Lennox può eseguire il ping del gateway predefinito.
Sì, può.
Quindi sullo switch ancora una volta mostra l'associazione snooping IP DHEA.
Possiamo vedere che due indirizzi IP sono stati assegnati a specifici indirizzi MAC mostrano l'ispezione IP up.
Quindi c'è di nuovo il comando.
Possiamo vedere che è abilitato per il vitello e sono stati eliminati così tanti pacchetti.
Ora su Kelly ancora una volta ho config che mi mostra che questo è l'indirizzo MAC dell'host che termina
in 5 a 0 0 sullo switch show IP DHB snooping database che l'indirizzo MAC è stato assegnato a
questo indirizzo IP che Kelly può pagare gateway predefinito.
Ancora una volta quell'indirizzo IP questo indirizzo MAC cambierò l'indirizzo MAC usando il cambia CD Mac cambia ci dice che possiamo
vedere l'indirizzo MAC usando S. come opzione e quindi possiamo creare
un indirizzo MAC casuale usando la barra o trattino o così Mac cambia lo zero Ethernet del trattino che è l'attuale
indirizzo mac.
Questo è l'indirizzo MAC permanente che scorre ancora una volta.
Questo è l'indirizzo MAC che abbiamo visto in precedenza con I config.
Quindi creiamo un indirizzo MAC casuale.
L'indirizzo MAC che ci è stato detto è ora questo.
Quindi ho una configurazione che ci mostra che quello è il nuovo indirizzo mac a cui ci è stato assegnato un indirizzo MAC casuale.
Siamo in grado di pagare la risposta predefinita del gateway non è impossibile e stiamo
riscontrando molte negazioni sullo switch.
Non puoi semplicemente creare un indirizzo MAC casuale o provare a implementare lo spoofing delle operazioni o l'avvelenamento
OP perché ora abbiamo attivato l'ispezione dinamica su sullo switch.
E fermerò il ping su Kelly.
L'unico indirizzo MAC che è consentito è quell'indirizzo MAC sull'interfaccia gigabit 0 1.
Questo indirizzo MAC è consentito su gigabit 02.
Quindi, cambiando in modo casuale il mio indirizzo mac usando il Mac Changer da questo indirizzo a questo indirizzo, viene negato il
traffico e si impedisce anche a qualcuno di utilizzare un'applicazione come un limite per avvelenare le cache OP.
Quindi ancora una volta in precedenza ti ho mostrato come usarlo come tappo per avvelenare gli host sulla rete, quindi se provo a
cercare host ora che lo switch verrà negato dallo switch a causa dell'ispezione dinamica verso
l'alto, non posso implementare l'avvelenamento da usando a un limite diversamente da prima quando l'ho dimostrato in
questo video perché abbiamo un'ispezione OP dinamica abilitata.
Va bene.
Un video molto lungo ancora una volta, ma spero di averti mostrato chiaramente come impostare
una dinamica di ispezione e come testarlo, puoi ancora una volta scaricare questa presentazione se vuoi avere un riepilogo
di ciò che abbiamo fatto e vuoi tienilo come riferimento.