DHCP Snooping

O que é DHCP Snooping

O DHCP aloca endereços IP dinamicamente, alugando endereços para dispositivos para que os endereços possam ser reutilizados quando não forem mais necessários pelos dispositivos aos quais foram atribuídos. Hosts e dispositivos finais que exigem endereços IP obtidos por DHCP devem se comunicar com um servidor DHCP em toda a LAN.

A espionagem do DHCP analisa os pacotes DHCP de entrada e examina as mensagens DHCP. Ele extrai seus endereços IP e informações de locação alocadas aos clientes e cria um banco de dados. Usando este banco de dados, ele pode determinar se os pacotes que chegam são dos clientes válidos — ou seja — os endereços IP dos clientes foram atribuídos pelo servidor DHCP. Dessa forma, a espionagem do DHCP atua como guardiã da segurança da rede, mantendo o controle de endereços IP válidos atribuídos a dispositivos de rede downstream por um servidor DHCP confiável (o servidor está conectado a uma porta de rede confiável).

Benefícios do DHCP Snooping

• A espionagem DHCP oferece uma camada extra de segurança por meio de filtragem dinâmica de fontes IP.

• A espionagem dhcp pode evitar atividades dhcp desonestos na rede filtrando pacotes DHCP que estão chegando nas portas erradas, ou com conteúdo incorreto.

Ativação do DHCP Snooping

Quando você está usando o recurso de espionagem DHCP, é importante que você entenda sobre como habilitar o recurso de espionagem DHCP.

No dispositivo Junos OS, você não pode configurar o recurso de espionagem DHCP como um recurso independente. Sempre que você configura a segurança DHCP ou o servidor DHCP ou DHCP para uma vLAN específica ou interface ou instância de roteamento do dispositivo, a espionagem DHCP é automaticamente habilitada naquela instância de VLAN/interface/roteamento para executar sua tarefa.

Por exemplo:

• Quando você habilita o DHCP Relay em uma determinada lista de interfaces de uma instância de roteamento específica
• A espionagem DHCP é habilitada automaticamente nessas interfaces para essa instância de roteamento.
• Quando você habilita a segurança DHCP em um VLAN específico, a espionagem DHCP é habilitada automaticamente nesse VLAN.

O Junos OS permite a espionagem de DHCP em um switch/roteador/firewall em:

• Uma instância de roteamento quando você configura as seguintes opções nessa instância de roteamento:

  • dhcp-relay declaração no nível [edit forwarding-options] de hierarquia.
  • dhcp-local-server declaração no nível [edit system services] de hierarquia.

• Um switch quando você configura a seguinte opção para quaisquer recursos de segurança de porta:

  • dhcp-security declaração no nível [edit vlans vlan-name forwarding-options] de hierarquia.

Configuração do DHCP Snooping

Na configuração padrão de espionagem de DHCP, todo o tráfego é bisbilhotado.

No dispositivo Junos OS, a espionagem DHCP é habilitada em uma instância de roteamento quando você configura as seguintes opções nessa instância de roteamento:

• dhcp-relaydeclaração no nível hierárquicos [edit forwarding-options]

• dhcp-local-serverdeclaração no nível hierárquicos [edit system services]

• Você pode usar opcionalmente a forward-snooped-clients declaração para avaliar o tráfego bisbilhotado e determinar se o tráfego é encaminhado ou descartado, com base na configuração ou não da interface como parte de um grupo.

O roteador descarta pacotes bisbilhotados por padrão se não houver assinante associado ao pacote. Para permitir o processamento normal de pacotes bisbilhotados, você deve configurar explicitamente a allow-snooped-clients declaração no nível hierárquica [edit forwarding-options dhcp-relay] .

Você pode configurar o suporte de espionagem DHCP para uma instância de roteamento específica para o seguinte:

• Agente de retransmissão DHCPv4 — Anule a configuração padrão de snooping do roteador (ou switch) e especifique que a espionagem DHCP é habilitada ou desativada globalmente para um grupo de interfaces nomeada ou para uma interface específica dentro de um grupo nomeado.

  Em um procedimento separado, você pode definir uma configuração global para especificar se o agente de retransmissão DHCPv4 encaminha ou descarta pacotes bisbilhotados para todas as interfaces, apenas interfaces configuradas ou apenas interfaces não configuradas. O roteador também usa a configuração global de espionagem de agentes de transmissão DHCP para determinar se deve encaminhar ou soltar pacotes BOOTREPLY bisbilhotados. Uma solicitação de renovação pode ser unicast diretamente ao servidor DHCP. Este é um pacote BOOTPREQUEST e é bisbilhotado.

• Agente de retransmissão DHCPv6 — Como você pode com o suporte de espionagem para o agente de retransmissão DHCPv4, você pode substituir a configuração padrão de espionagem do agente de retransmissão DHCPv6 no roteador para habilitar ou desativar explicitamente o suporte de espionagem globalmente, para um grupo de interfaces nomeadas ou para uma interface específica com um grupo de interfaces nomeado.

  Em topologias multitransmissão onde mais de um agente de retransmissão DHCPv6 está entre o cliente DHCPv6 e o servidor DHCPv6, a espionagem permite que agentes de transmissão DHCPv6 entre o cliente e o servidor recebam e processem corretamente o tráfego unicast do cliente e o encaminhem para o servidor. O agente de transmissão DHCPv6 bisbilhota pacotes DHCPv6 unicast de entrada configurando um filtro com a porta UDP 547 (a porta de servidor DHCPv6 UDP) em uma tabela de encaminhamento por encaminhamento. O agente de transmissão DHCPv6 então processa os pacotes interceptados pelo filtro e encaminha os pacotes para o servidor DHCPv6.

  Ao contrário do agente de retransmissão DHCPv4, o agente de retransmissão DHCPv6 não oferece suporte à configuração global do suporte de encaminhamento para pacotes bisbilhotados DHCPv6.

• Servidor local DHCP — Configure se o servidor local DHCP encaminha ou derruba pacotes bisbilhotados para todas as interfaces, apenas interfaces configuradas ou apenas interfaces não configuradas.

• Você também pode desativar filtros de espionagem. Nas configurações anteriores, todo o tráfego DHCP é encaminhado para o plano de roteamento mais lento da instância de roteamento antes de ser encaminhado ou descartado. A desativação de filtros de espionagem faz com que o tráfego DHCP possa ser encaminhado diretamente do plano de controle de hardware mais rápido para ignorar o plano de controle de roteamento.