Zebra O que você está fazendo?
Como você vale uma zebra desagradável enquanto guarda a zebra?
Vamos quebrar alguns bloqueios de modelo neste vídeo.
Vou mostrar como implementar a inspeção dinâmica dinâmica, a inspeção dinâmica dinâmica interrompe ataques como envenenamento
por OP.
E o man in the middle ataques em um vídeo anterior, que eu linkei aqui e
abaixo, mostrei como usar o Kelly ou o Collie Linux, se você preferir implementar um homem no meio do ataque
envenenando os caches de dispositivos OP.
Tivemos Kelly envenenando o cache OP de um dispositivo Windows e um roteador Cisco e, em seguida, implementando um homem no meio do
ataque, em que todo o tráfego desse Windows hospedava em seu gateway padrão.
O piloto da Cisco foi roteado ou alternado nesse caso através do host linux da Kelly. Assim, Carly conseguiu ver todo
o tráfego do Windows para o piloto e do Windows para a Internet.
Como exemplo, conseguimos capturar senhas de telnet e senhas de HDP.
Você não deveria estar usando protocolos de texto não criptografado em sua rede hoje; portanto, não
deveria usar protocolos como HDP ou telnet, mas se alguém usasse senhas em texto não criptografado, eu teria visibilidade dessas senhas
e visibilidade dos dados, porque todos o tráfego é enviado através do host linux Kelly.
Que neste caso implementou um homem no meio do ataque.
Podemos parar esse tipo de besteira implementando a inspeção dinâmica do OP A inspeção dinâmica
do OP requer a espionagem DHB ou a configuração manual dos endereços MAC desses comutadores basicamente espionando ou
atendendo às solicitações da HP de hosts ou dispositivos ao servidor DHB e, em seguida, criando dinamicamente ao usar o
DHB bisbilhotando um mapeamento de endereço MAC para endereço IP para uma interface.
Por isso, diz que esse endereço MAC pertence a essa interface.
Se você alterar seu endereço MAC, esse tráfego será negado e eu vou demonstrar isso usando o
Kelly Linux neste vídeo.
Então, eu vou lhe mostrar como você pode implementar a inspeção dinâmica de OP snooping da HP e impedir que Kelly envie
tráfego quando ele alterar o endereço do Mac.
Então, vamos parar de parar de envenenar ataques.
Agora, para facilitar, adicionamos esta apresentação abaixo deste vídeo.
Esta apresentação mostra a rede que estou usando e mostra como configurar a inspeção dinâmica
de IP.
Portanto, tenho links aqui para a Cisco e outros sites que fornecem
mais informações, mas também mostro como configurar a espionagem DHB e a dinâmica da inspeção.
Então, neste vídeo, mostrarei muitos detalhes de como tudo isso funciona.
Use o menu aqui para ir para um tópico específico, se desejar.
Vamos mostrar como configurar a espionagem do DHB, mas abordamos isso mais uma vez neste vídeo.
Se você quiser ver a parte da inspeção dinâmica de IP do vídeo, pule para o carimbo de data /
hora específico do seu interesse.
Incluí isso mais uma vez abaixo deste vídeo.
Esta apresentação mostra como configurar isso como verificá-lo em um switch Cisco.
Agora, a primeira coisa que precisamos fazer é ativar a espionagem do DHB.
Agora, eu cobri isso e muitos detalhes em um vídeo anterior, então tudo o que vou fazer
aqui é copiar e colar os comandos no comutador.
Dê uma olhada neste vídeo.
Se você quiser assistir a um vídeo de espionagem do DHB que discute isso com muitos detalhes.
Ok, então o que vou fazer é copiar os comandos desta apresentação e colar os comandos
no nosso switch.
Agora você não é topologia mais uma vez, temos um Cisco mais amplo, esse piloto está configurado com um servidor DHB.
Então, vamos ver que primeiro, aqui está o canal de execução dos dados brutos.
Comece o DHEA P, que só me permite alterar a configuração até que a palavra-chave DHEA P seja encontrada, para que haja
o comando.
Aqui está a minha força DHB.
Você pode ver a rede usando sua barra 10 1 1 0 24.
O gateway padrão ou o gateway padrão é o roteador local em que um servidor DNS está definido como google, o roteador
tem esse endereço IP 10 1 1 2 5 4 configurado no gigabit 0.
Portanto, essa interface é configurada com o endereço IP 10 1 1 2 5 4 e o direito está alocando
endereços IP para dispositivos, e podemos ver que, digitando show IP DHB binding, podemos ver que dois dispositivos
receberam endereços IP.
Este é o endereço IP alocado para o Kelly Linux.
Este é o endereço IP alocado para o computador Windows.
Podemos verificar
isso usando o comando IP address em Kelly.
Observe que há o endereço IP alocado para o host linux Kelly e no computador com Windows.
Vou abrir uma configuração de IP de prompt C e D.
Este é o endereço IP do computador Windows, para que o servidor DHB tenha sido configurado.
Está alocando endereços IP para os dispositivos na rede.
O que precisamos fazer agora é configurar a espionagem DHB no comutador.
No momento, nenhum rastreamento de DHB foi ativado para que você possa ver que nenhum comando DCP foi ativado
e não habilitamos a inspeção dinâmica dinâmica.
Ok, então a primeira coisa que vou fazer é copiar os comandos de espionagem DHB P para o
comutador, cole-os
e você pode ver aqui que a espionagem DHB foi ativada globalmente.
Foi ativado para a VLAN 1.
Desativamos a opção 82 e o comando show IP snooping IP DHB nos mostra que o snooping do DHB agora
está ativado na v 1, nenhuma porta confiável ainda foi configurada.
Agora, mais uma vez, eu lhe mostrei anteriormente como configurar o espião da HP e expliquei-o
com muitos detalhes, por isso não estou fazendo isso aqui.
OK.
A próxima etapa é configurar as portas confiáveis, tendo em vista que a topologia gigabit 0 0 é uma porta confiável Ok,
portanto, pode topologia em gigabit.
0 0 é a interface que se conecta ao rotor, o rotor está executando o serviço
DHB; está alocando endereços IP; queremos confiar no servidor CHP; não queremos confiar neste host linux Kelly como servidor DHB.
Então, voltando ao switch, eu vou colar esses comandos gigabit 0 0 agora é uma interface confiável show IP the DHB snooping, podemos ver
que gigabit 0 0 agora é uma interface confiável agora também podemos atingir um limite de solicitações de DHEA P para parar
um ataque de negação de serviço, por isso vou classificar o limite de mensagens DCP para 10 pacotes por segundo
no gigabit 0 1, que é a interface que me conecta ao host Kelly linux novamente. Expliquei
isso com muitos detalhes no vídeo anterior peça vendida àquela que
digitou primeiro a quantidade.
Então tente isso de novo.
Aqui vamos nós.
Então, mostre a interface de execução gigabit 00.
Estamos confiando nessa interface.
Não estamos confiando nessa interface.
Esta interface de gigabit 0 1 está com taxa limitada 0 0 está sendo confiável.
Ok, agora que eu configurei o DHB Snooping, eu posso configurar a inspeção
dinâmica dinâmica A inspeção dinâmica dinâmica é bastante simples de configurar, o que vamos fazer é configurá-la globalmente no
comutador usando o comando IP inspeção VLAN 1, para confete a inspeção IP OPP especifique a VLAN meu exemplo é v land 1 porque todas
as portas do switch estão atualmente configuradas na VLAN 1 agora normalmente no mundo real, você não colocaria seus dispositivos e na
VLAN, você os colocaria em uma VLAN diferente, agora observe o que está
acontecendo.
Já estamos vendo mensagens OP inválidas recebidas no gigabit 02.
Esse é o host do Windows.
Não estamos confiando em ninguém no momento.
Estamos basicamente bloqueando todo o tráfego.
Portanto, o host do Windows está tentando acessá-lo em seu gateway padrão, tentando acessar 10 1 1 2 5 4.
Há o endereço IP do host do Windows O endereço Mac do host do Windows está
tentando acessar o gateway padrão e o tráfego está sendo negado.
Podemos ver isso como um exemplo nas janelas.
P. S. Se eu tentar executar ping no roteador, ele não funcionará.
O tráfego é
negado e, na verdade, deixe-me demonstrar isso.
Vou remover a inspeção dinâmica do OP, para que seja removida e o que você notará é o P. C. as janelas
P. C. pode executar ping no roteador, mas o que você notará também é que o host do Kelly Linux pode executar ping no P. C. o que não queremos que ele faça e
pode executar ping no roteador para que Kelly possa executar ping nas duas janelas P. C. assim como o roteador, mas
assim que habilitamos a inspeção dinâmica, basicamente interrompemos a rede porque o tráfego de 10 1 1 2
2 10 1 1 100 está sendo negado, porque agora, quando tentamos executar o ping, diz que as janelas hospedam o tráfego é
negado Kelly não é capaz de executar ping no host do Windows e não é capaz de executar ping no gateway padrão;
o host do Windows não consegue acessar o gateway padrão.
Isso é um problema.
Queremos que ele seja capaz de falar com seu gateway padrão.
Então, o que vamos fazer é definir o gigabit 0 0 como uma porta confiável.
Essa é a porta que nos conecta ao rotor.
Portanto, na inspeção da interface do switch gigabit 00 IP OPP, basta usar o ponto de interrogação novamente.
Confiaremos nessa interface, portanto, mostre a interface de execução gigabit 00.
Este comando mostra que essa interface é confiável para a espionagem do DHB e para a inspeção OP, agora as
janelas P. C. faça ping no rotor.
No momento, podemos ver que não pode.
Ainda temos um monte de negações no switch show
IPD HP snooping, vamos ver as ligações.
Observe o problema.
Não há ligações D HP no momento.
Contamos com o banco de dados de ligações D HP para implementar a inspeção dinâmica do OP.
Precisamos ter as ligações no banco de dados para que a dinâmica da inspeção funcione.
Portanto, estamos constantemente recebendo essas negações no momento, porque não há entrada no banco de dados de espionagem do
DHB.
Então, eu vou para o topo da barra de configuração de IP para liberar meu endereço IP e digitar
renew para renovar o endereço IP no computador Windows.
Agora está sendo dado esse endereço IP de volta no switch show IP snooping binding do DHB, podemos ver que esse
endereço mac recebeu esse endereço IP e podemos ver que via DHB snooping na VLAN 1, a interface na qual esse
host reside é gigabit 02, portanto de volta nas janelas.
P. S. Agora ele pode executar ping no gateway padrão.
E a resposta é sim, pode.
Portanto, lembre-se, porque estamos usando a espionagem da HP, as peças precisam solicitar endereços IP e esses endereços
IP devem ser alocados através do DHEA.
Temos que ter o DHB bisbilhotando a conversa, pois o usuário aloca o
endereço IP ao P. C. e, por isso, os bancos de dados de
espionagem do DHB disparam e a inspeção dinâmica pode alavancar esse banco de dados para permitir dispositivos.
Então, novamente no switch show IP snooping binding do DHB, podemos ver que esse endereço IP
foi alocado para esse endereço Mac nesta interface.
Agora, Kelly pode parar de pagar o gateway padrão porque um endereço IP não foi adicionado ao banco de dados de espionagem
do DHB.
Então, o que vou fazer é editar as conexões em Kelly.
Vou para as configurações da versão 4 do IP, desabilitar a
interface e voltar a usá-lo DHEA PI have
config nos mostra que ele tem seu endereço IP show IP
DHB binding no switch, você pode ver que esse endereço IP foi alocado para esse endereço MAC,
que é o endereço MAC do host Kelly Lennox, termina em 5 a 0 0, que é o que vemos aqui.
O host Kelly Lennox também pode executar ping no gateway padrão.
Sim pode.
Então, no switch, mais uma vez, mostre a ligação de espionagem IP DHEA.
Podemos ver que dois endereços IP foram alocados para endereços MAC específicos, mostrando inspeção de IP.
Então, há o comando novamente.
Podemos ver que ele está ativado para vitela e muitos pacotes foram descartados.
Agora, na Kelly, mais uma vez, o config me mostra que este é o endereço MAC do host que termina em 5
a 0 0 no banco de dados de snooping IP DHB do switch show, que o endereço MAC foi atribuído a
esse endereço IP que Kelly pode pagar pelo gateway padrão.
Mais uma vez esse endereço IP, este endereço MAC, eu vou mudar o endereço MAC usando o trocador de Mac. A mudança de Mac nos diz que
podemos ver o endereço MAC usando S. como opção e, em seguida, podemos criar
um endereço MAC aleatório usando barra de hífens ou hífen, para que o Mac altere o zero Ethernet do traço, que é o endereço
mac atual.
Esse é o endereço MAC permanente rolando para cima mais uma vez.
Esse é o endereço MAC que vimos anteriormente com tenho config.
Então, vamos criar um endereço MAC aleatório.
O endereço MAC que nos foi dito agora é esse.
Então, eu tenho config nos mostra que esse é o novo endereço MAC que recebemos endereço MAC aleatório.
Podemos pagar a resposta padrão do gateway? Não, não podemos, e estamos vendo
muitas negações no switch.
Você não pode simplesmente criar um endereço MAC aleatório ou tentar implementar falsificação de operações ou envenenamento por
OP, porque agora temos a inspeção dinâmica ativada no comutador.
E eu vou parar o ping em Kelly.
O único endereço MAC permitido é o endereço MAC na interface gigabit 0 1.
Este endereço MAC é permitido no gigabit 02.
Portanto, ao alterar aleatoriamente meu endereço mac usando o Mac changer deste endereço para este endereço, o tráfego agora está sendo negado
e também impede que alguém use um aplicativo como um limite para envenenar os caches do OP.
Então, novamente, mostrei anteriormente como usá-lo como um limite para envenenar hosts na rede. Se eu tentar procurar hosts agora
que o tráfego será negado pelo switch por causa da inspeção dinâmica, não
posso implementar envenenamento por usando um limite ao contrário de quando demonstrei neste vídeo porque
temos uma inspeção dinâmica de OP ativada.
OK.
Vídeo muito longo, mais uma vez, mas espero que tenha lhe mostrado claramente como configurar uma
dinâmica de inspeção e como testá-lo. Você pode novamente fazer o download desta apresentação se quiser ter um resumo
do que fizemos e deseja mantenha isso como uma referência.