Zebra ¿Qué haces?
¿Cómo vales una cebra desagradable mientras la proteges?
Vamos a romper algunas cerraduras modelo en este video.
Le mostraré cómo implementar la inspección dinámica ascendente La inspección dinámica ascendente detiene los ataques como el
envenenamiento por OP.
Y los ataques de hombre en el medio en un video anterior que he vinculado aquí
y a continuación, le mostré cómo usar Kelly o Collie Linux si prefiere implementar un ataque de hombre en el medio
envenenando los cachés de dispositivos OP.
Tuvimos a Kelly envenenando el caché OP de un dispositivo Windows y un enrutador Cisco y luego implementando un ataque de hombre en el medio donde
todo el tráfico de ese host de Windows a su puerta de enlace predeterminada.
El rider de Cisco fue enrutado o cambiado en este caso a través del host de Linux de Linux. Así que Carly
pudo ver todo el tráfico desde Windows al rider y ventanas a Internet.
Como ejemplo, pudimos capturar contraseñas telnet y contraseñas HDP.
No debería usar protocolos de texto claro en su red hoy, por lo que no debería usar
protocolos como HDP o telnet, pero si alguien usara contraseñas de texto claro, tendría visibilidad de esas contraseñas y visibilidad de los
datos porque todos el tráfico se envía a través del host de Linux de Kelly.
Lo que en este caso implementó un hombre en el medio ataque.
Podemos detener ese tipo de tonterías implementando la inspección dinámica
de OP. La inspección dinámica de OP requiere ya sea DHB snooping
o que configure manualmente las direcciones MAC. cuando se usa DHB espiando una dirección
MAC a una dirección IP asignada a una interfaz.
Entonces dice que esta dirección MAC pertenece a esta dirección IP en esta interfaz.
Si cambia su dirección de Mac, se denegará el tráfico y voy a demostrar que usa Kelly
Linux en este video.
Así que le mostraré cómo puede implementar la inspección de OP dinámica de inspección de HP y luego evitar que Kelly
envíe tráfico cuando cambie su dirección Mac.
Así que vamos a dejar de detener los ataques de envenenamiento.
Ahora, para hacerlo más fácil, agregué esta presentación debajo de este video.
Esta presentación le muestra la red que estoy usando y luego le muestra cómo configurar la inspección dinámica
de IP.
Así que tengo enlaces aquí a Cisco y otros sitios web que le brindan
más información, pero también le muestro cómo configurar tanto la inspección DHB como la dinámica de inspección.
Entonces, en este video, les mostraré muchos detalles sobre cómo funciona todo esto.
Use el menú aquí para saltar a un tema específico si lo desea.
Así que le mostraré cómo configurar DHB snooping, pero lo he cubierto una vez más en este
video, así que si solo desea ver la parte de inspección dinámica de IP del video, vaya a la marca
de tiempo específica de interés.
He incluido esto una vez más debajo de este video.
Esta presentación le muestra cómo configurar esto, cómo verificarlo en un conmutador Cisco.
Ahora, lo primero que debemos hacer es habilitar la inspección DHB.
Ahora he cubierto esto y muchos detalles en un video anterior, así que todo lo que voy a hacer
aquí es copiar y pegar los comandos en el interruptor.
Echa un vistazo a este video.
Si desea ver un video de indagación de DHB que analiza esto con mucho detalle.
Bien, entonces lo que voy a hacer es copiar los comandos de esta presentación y pegar los
comandos en nuestro interruptor.
Ahora ya no eres topología, una vez más tenemos un Cisco más amplio, este rider está configurado con un servidor DHB.
Así que veamos primero que aquí está la tubería de ejecución del programa de datos sin procesar.
Comience DHEA P que solo me permite alterar la configuración hasta que se encuentre la palabra clave DHEA P, así que está
el comando.
Aquí está mi tirón de DHB.
Puede ver que la red utilizó su barra diagonal 10 1 1 0 24.
La puerta de enlace derecha o predeterminada predeterminada es el enrutador local que un servidor DNS está configurado en google, el enrutador
tiene esta dirección IP 10 1 1 2 5 4 configurada en gigabit 0.
Entonces, esta interfaz está configurada con la dirección IP 10 1 1 2 5 4 y la derecha está asignando direcciones
IP a dispositivos y podemos ver que al escribir show IP DHB vinculante podemos ver que dos dispositivos han
recibido direcciones IP.
Esta es la dirección IP asignada a Kelly Linux.
Esta es la dirección IP asignada a la computadora con Windows.
Podemos verificar eso
usando la dirección IP del comando en Kelly.
Observe que hay una dirección IP asignada al host de Linux de Kelly y en la computadora con Windows.
Abriré una configuración de IP de solicitud C y D.
Esta es la dirección IP de la computadora con Windows, por lo que se ha configurado el servidor DHB.
Está asignando direcciones IP a los dispositivos en la red.
Lo que tenemos que hacer ahora es configurar DHB snooping en el switch.
Por el momento no se ha habilitado la inspección DHB, por lo que puede ver que no se han habilitado los comandos DCP y
que no hemos habilitado la inspección dinámica hacia arriba.
Bien, lo primero que haré es copiar los comandos de inspección de DHB P en el conmutador,
pegarlos y
ver aquí que la inspección de DHB se ha habilitado globalmente.
Se ha habilitado para la VLAN 1.
Hemos deshabilitado la opción 82 y el comando show IP DHB snooping nos muestra que para DHB snooping ahora está habilitado
en v 1, todavía no se han configurado puertos de confianza.
Ahora, una vez más, le mostré previamente cómo configurar el HP snooping y lo expliqué
con mucho detalle, así que no lo haré aquí.
Bueno.
El siguiente paso es configurar puertos confiables en mente. Topología Gigabit 0 0 es un puerto confiable. De
acuerdo, podría topología Gigabit.
0 0 es la interfaz que se conecta al rotor, el rotor está ejecutando el servicio DHB, está asignando
direcciones IP en las que queremos confiar en el servidor CHP, no queremos confiar en este host Linux Kelly como servidor DHB.
Entonces, de vuelta en el interruptor, voy a pegar esos comandos gigabit 0 0 ahora es una interfaz confiable que muestra IP, la inspección DHB podemos
ver que gigabit 0 0 ahora es una interfaz confiable ahora también podemos alcanzar un límite de solicitudes de DHEA P para detener un
ataque de denegación de servicio, así que voy a calificar el límite de mensajes DCP a 10 paquetes por segundo en gigabit 0
1, que es la interfaz que me conecta de nuevo con el host de Kelly Linux. Lo expliqué con
mucho detalle en el video anterior La pieza vendida a eso tiene
que escribir primero la cantidad.
Intenta eso de nuevo.
Aquí vamos.
Así que muestra la interfaz de ejecución gigabit 00.
Estamos confiando en esta interfaz.
No estamos confiando en esta interfaz.
Esta interfaz gigabit 0 1 tiene una velocidad limitada 0 0 es de confianza.
Bien, ahora que configuré la inspección DHB, puedo configurar la inspección dinámica hacia arriba
La inspección dinámica hacia arriba es bastante simple de configurar, lo que vamos a hacer es configurarlo globalmente en
el conmutador mediante el comando IP inspección VLAN 1, así que confeti IP OPP inspección especifique la VLAN, mi ejemplo es v land 1 porque todos
los puertos en el conmutador están configurados actualmente en la VLAN 1, ahora en el mundo real normalmente no colocaría sus dispositivos y
la VLAN que colocaría en una VLAN diferente ahora nota lo que está
sucediendo.
Ya estamos viendo mensajes OP no válidos recibidos en gigabit 02.
Ese es el host de Windows.
No estamos confiando en nadie en este momento.
Básicamente estamos bloqueando todo el tráfico.
Entonces, el host de Windows está tratando de llevarlo a su puerta de enlace predeterminada, por lo que está tratando de llegar a 10 1 1 2 5 4.
Está la dirección IP del host de Windows. La dirección Mac del host de Windows que intenta
acceder a su puerta de enlace predeterminada y se niega el tráfico.
Podemos ver eso como un ejemplo en las ventanas.
pag. S. Si intento hacer ping al enrutador, no funcionará.
Se niega
el tráfico y, de hecho, déjame demostrarlo
Voy a eliminar la inspección dinámica de OP para que se elimine y lo que notará es la P. C. las ventanas
P. C. puede hacer ping al enrutador, pero lo que también notará es que el host Kelly Linux puede hacer ping al P. C. lo que no queremos que haga y puede
hacer ping al enrutador para que Kelly pueda hacer ping a ambas ventanas P. C. así como el enrutador, pero
tan pronto como habilitamos la inspección dinámica hacia arriba, básicamente rompemos la red porque se notifica el tráfico de
10 1 1 2 2 10 1 1 100 porque ahora cuando intentamos hacer ping y decimos que el host de Windows se niega el
tráfico Kelly no puede hacer ping al host de Windows y no puede hacer ping a su puerta de enlace predeterminada, el host
de Windows no puede acceder a su puerta de enlace predeterminada.
Eso es un problema.
Queremos que pueda hablar con su puerta de enlace predeterminada.
Entonces, lo que vamos a hacer es establecer gigabit 0 0 como un puerto confiable.
Ese es el puerto que nos conecta al rotor.
Por lo tanto, en la inspección de OPP IP de gigabit 00 de la interfaz del conmutador, simplemente use el signo de interrogación nuevamente, confíe
en que vamos a confiar en esa interfaz, así que muestre la interfaz de ejecución gigabit 00.
Este comando nos muestra que esta interfaz es confiable para la inspección DHB, así como para la inspección de OP, por lo que ahora las
ventanas P. C. hacer ping al rotor.
Por el momento podemos ver que no puede.
Todavía recibimos un montón de negaciones en el interruptor que muestra IPD
HP husmeando echemos un vistazo a los enlaces.
Note el problema
No hay enlaces D HP en este momento.
Confiamos en la base de datos de enlaces D HP para implementar la inspección dinámica de OP.
Necesitamos tener los enlaces en la base de datos para que funcione la dinámica de inspección.
Por lo tanto, estamos constantemente recibiendo estas denegaciones en este momento porque no hay entrada en la base de datos de indagación de
DHB.
Así que voy a la parte superior de la barra diagonal de configuración de IP para liberar mi dirección IP y luego voy
a escribir renovar para renovar la dirección IP en la computadora Windows.
Ahora se le está devolviendo esta dirección IP en el conmutador que muestra el enlace de inspección IP DHB. Podemos ver que esta dirección MAC
recibió esta dirección IP y podemos ver que a través de la inspección DHB en la VLAN 1, la interfaz donde reside ese
host es gigabit 02, por lo que De vuelta en las ventanas.
pag. S. ¿Puede ahora hacer ping a su puerta de enlace predeterminada?
Y la respuesta es sí, sí puede.
Entonces recuerde porque estamos usando el HP que inspecciona las piezas tienen que solicitar direcciones IP y esas direcciones
IP deben asignarse a través de DHEA.
Tenemos que hacer que DHB husmeando escuchando la conversación y viendo que el piloto asigna la
dirección IP a la P. C. y luego debido a eso, el perno de las
bases de datos de inspección DHB y la inspección dinámica pueden aprovechar esa base de datos para permitir dispositivos.
Entonces, nuevamente en el conmutador muestra el enlace de indagación IP DHB, podemos ver que esta dirección IP
se asignó a esta dirección Mac en esta interfaz.
Ahora Kelly puede detenerse al no pagar la puerta de enlace predeterminada porque no se ha agregado una dirección IP a la base de datos de
indagación DHB.
Entonces, lo que voy a hacer es editar las conexiones en Kelly.
Voy a ir a la configuración de la versión
4 de IP, deshabilite la interfaz,
regrese y haga que use DHEA. PI config nos muestra
que tiene su dirección IP. a esta dirección mac, que es la dirección
MAC del host Kelly Lennox, termina en 5 a 0 0, que es lo que vemos aquí.
Entonces, ¿puede el host de Kelly Lennox hacer ping a la puerta de enlace predeterminada?
Sí puede.
Entonces, en el interruptor, una vez más, muestre el enlace de indagación IP DHEA.
Podemos ver que se han asignado dos direcciones IP a direcciones MAC específicas que muestran la inspección de IP up.
Así que ahí está el comando nuevamente.
Podemos ver que está habilitado para ternera y se han descartado tantos paquetes.
Ahora, en Kelly, una vez más, la configuración me muestra que esta es la dirección MAC del host que termina en 5 a
0 0 en el conmutador muestra la base de datos de indagación IP DHB de que la dirección MAC se ha asignado a
esta dirección IP Kelly puede pagar la puerta de enlace predeterminada.
Una vez más esa dirección IP esta dirección MAC Voy a cambiar la dirección MAC usando el cambiador de Mac Mac cambio nos dice que podemos
ver la dirección MAC usando S. como una opción y luego podemos crear
una dirección MAC aleatoria usando la barra de guiones o guiones, o así Mac cambia el cero de Ethernet del guión que es la dirección
mac actual.
Esa es la dirección MAC permanente que se desplaza hacia arriba una vez más.
Esa es la dirección MAC que vimos anteriormente con I config.
Entonces, creemos una dirección MAC aleatoria.
La dirección MAC que nos han dicho es ahora esto.
Entonces, config nos muestra que esa es la nueva dirección mac que se nos ha dado una dirección MAC aleatoria.
¿Podemos pagar la respuesta de la puerta de enlace predeterminada? No, no podemos y estamos viendo
muchas negaciones en el switch.
No puede crear una dirección MAC aleatoria o intentar implementar operaciones de suplantación de identidad o envenenamiento de
OP porque ahora tenemos habilitada la inspección dinámica en el conmutador.
Y simplemente detendré el ping sobre Kelly.
La única dirección MAC permitida es esa dirección MAC en la interfaz gigabit 0 1.
Esta dirección MAC está permitida en gigabit 02.
Entonces, al cambiar aleatoriamente mi dirección Mac usando el cambiador de Mac de esta dirección a esta dirección, ahora se niega
el tráfico, también evita que alguien use una aplicación como un límite para envenenar los cachés OP.
Entonces, nuevamente, le mostré cómo usar un límite para envenenar hosts en la red, así que si trato de buscar hosts ahora,
el conmutador negará el tráfico debido a la inspección dinámica hacia arriba, no puedo implementar
el envenenamiento por usando un límite, a diferencia de cuando lo demostré en este video porque
tenemos habilitada una inspección dinámica de OP.
Bueno.
Un video muy largo una vez más, pero espero haberle enseñado claramente cómo configurar una
dinámica de inspección y cómo probarla. Puede descargar esta presentación una vez más si desea tener un resumen de
lo que hemos hecho y desea mantén esto como referencia.