- play_arrow 포트 보안
- play_arrow 포트 보안 개요
-
- play_arrow IPSec (영문)
- play_arrow IPsec 및 보안 연결 이해
- play_arrow IPsec 구성 및 예
- play_arrow IPsec 보안 연결 구성
- play_arrow IPsec에 디지털 인증서 사용
- play_arrow 추가 IPsec 옵션
- play_arrow IPsec 동적 엔드포인트 구성
- play_arrow 추가 ES 및 AS PIC 구성 예
-
- play_arrow 디지털 인증서
- play_arrow 디지털 인증서 구성
- play_arrow SSH 및 SSL 라우터 액세스 구성
-
- play_arrow Trusted Platform Module
- play_arrow MACsec
- play_arrow MAC 제한 및 이동 제한
- play_arrow IP Source Guard
- play_arrow IP Source Guard 이해
- play_arrow IP Source Guard의 예
- 예: 음성 VLAN과 인터페이스를 공유하는 데이터 VLAN에서 IP Source Guard 구성
- 예: 신뢰할 수 없는 액세스 인터페이스에 대한 주소 스푸핑 공격을 완화하기 위해 다른 EX 시리즈 스위치 기능과 함께 IP Source Guard 구성
- 예: IP 스푸핑 및 ARP 스푸핑으로부터 스위치를 보호하기 위한 IP 소스 가드 및 동적 ARP 검사 구성
- 예: IPv6 주소 스푸핑으로부터 스위치 보호를 위한 IPv6 소스 가드 및 Neighbor Discovery 검사 구성
- 소스 IP 주소 스푸핑 및 소스 MAC 주소 스푸핑의 영향을 완화하기 위한 IP Source Guard 구성
- 예: 지정된 브리지 도메인에서 IP 소스 가드 및 동적 ARP 검사를 구성하여 공격으로부터 디바이스 보호
- 예: IPv6 주소 스푸핑으로부터 스위치 보호를 위한 IPv6 소스 가드 및 Neighbor Discovery 검사 구성
-
- play_arrow IPv6 액세스 보안
- play_arrow Neighbor Discovery 프로토콜
- play_arrow SLAAC 스누핑
- play_arrow 라우터 광고 가드
-
- play_arrow 컨트롤 플레인 디도스(DDoS) 공격 방어 및 플로우 탐지
- play_arrow 컨트롤 플레인 DDoS 방어
- play_arrow 플로우 감지 및 원인 플로우
-
- play_arrow 유니캐스트 포워딩
- play_arrow 유니캐스트 역방향 경로 전달
- play_arrow 알 수 없는 유니캐스트 포워딩
-
- play_arrow 스톰 컨트롤
- play_arrow 스톰 컨트롤의 이해 및 사용
-
- play_arrow 멀웨어 차단
- play_arrow 주니퍼 멀웨어 제거 도구
-
- play_arrow 구성 명령문 및 작동 명령
동적 ARP 검사(DAI) 이해 및 사용
동적 ARP 검사(DAI)는 ARP(Address Resolution Protocol) 패킷 스푸핑(ARP 포이즈닝 또는 ARP 캐시 포이즈닝이라고도 함)으로부터 스위칭 디바이스를 보호합니다.
DAI는 LAN에서 ARP를 검사하고 스위치의 DHCP 스누핑 데이터베이스에 있는 정보를 사용하여 ARP 패킷을 검증하고 ARP 스푸핑으로부터 보호합니다. ARP 요청 및 응답은 DHCP 스누핑 데이터베이스의 항목과 비교되며, 필터링 결정은 이러한 비교 결과에 기반하여 이루어집니다. 공격자가 위조된 ARP 패킷을 사용하여 주소를 스푸핑하려고 하면 스위치는 주소를 데이터베이스의 항목과 비교합니다. ARP 패킷의 MAC(Media Access Control) 주소 또는 IP 주소가 DHCP 스누핑 데이터베이스의 유효한 항목과 일치하지 않으면 패킷이 삭제됩니다
ARP 스푸핑 및 검사 이해하기
ARP 패킷은 라우팅 엔진으로 전송되며 CPU 과부하로부터 스위칭 디바이스를 보호하기 위해 속도가 제한됩니다.
주소 확인 프로토콜
다중 액세스 네트워크에서 IP 패킷을 전송하려면 IP 주소를 이더넷 MAC 주소에 매핑해야 합니다.
이더넷 LAN은 ARP를 사용하여 MAC 주소를 IP 주소에 매핑합니다.
스위칭 디바이스는 패킷을 네트워크 디바이스로 전달할 때 참조하는 캐시에서 이 매핑을 유지합니다. ARP 캐시에 대상 디바이스에 대한 항목이 포함되어 있지 않은 경우 호스트(DHCP 클라이언트)는 해당 디바이스의 주소에 대한 ARP 요청을 브로드캐스트하고 응답을 캐시에 저장합니다.
ARP 스푸핑
ARP 스푸핑은 메시지 가로채기(man-in-the-middle) 공격을 시작하는 한 가지 방법입니다. 공격자는 LAN에 있는 다른 디바이스의 MAC 주소를 스푸핑하는 ARP 패킷을 보냅니다. 스위칭 디바이스는 적절한 네트워크 디바이스로 트래픽을 전송하는 대신 적절한 디바이스를 가장하는 스푸핑된 주소를 가진 디바이스로 트래픽을 전송합니다. 가장 디바이스가 공격자의 컴퓨터인 경우 공격자는 다른 디바이스로 이동했어야 하는 스위치에서 모든 트래픽을 수신합니다. 그 결과 스위칭 디바이스의 트래픽이 잘못 전달되어 적절한 목적지에 도달할 수 없습니다.
ARP 스푸핑의 한 유형은 네트워크 디바이스가 자체 IP 주소를 확인하기 위해 ARP 요청을 보내는 Gratuitous ARP입니다. 정상적인 LAN 작동에서 Gratuous ARP 메시지는 두 디바이스가 동일한 MAC 주소를 가지고 있음을 나타냅니다. 또한 디바이스의 NIC(네트워크 인터페이스 카드)가 변경되고 디바이스가 재부팅될 때 브로드캐스트되므로 LAN의 다른 디바이스가 ARP 캐시를 업데이트합니다. 악의적인 상황에서 공격자는 특정 IP 주소로 향하는 모든 패킷을 다른 MAC 주소로 이동하도록 지시하는 ARP 응답을 디바이스에 전송하여 네트워크 디바이스의 ARP 캐시를 감염시킬 수 있습니다.
Gratuitous ARP 및 기타 유형의 스푸핑을 통한 MAC 스푸핑을 방지하기 위해 스위치는 DAI를 통한 ARP 응답을 검사합니다.
동적 ARP 검사
DAI는 LAN에서 ARP 요청 및 응답을 검사하고 ARP 패킷을 검증합니다. 스위치는 액세스 포트에서 ARP 패킷을 가로채 DHCP 스누핑 데이터베이스에 대해 검증합니다. 데이터베이스에 ARP 패킷의 정보에 해당하는 IP-MAC 항목이 없으면 DAI는 ARP 패킷을 삭제하고 로컬 ARP 캐시는 해당 패킷의 정보로 업데이트되지 않습니다. 또한 DAI는 패킷의 IP 주소가 유효하지 않을 때 ARP 패킷을 삭제합니다. ARP 프로브 패킷은 동적 ARP 검사를 거치지 않습니다. 스위치는 항상 이러한 패킷을 전달합니다.
EX 시리즈 스위치 및 QFX 시리즈용 Junos OS는 액세스 포트에서 수신되는 ARP 패킷에 대해 DAI를 사용합니다. 이러한 포트는 기본적으로 신뢰할 수 없기 때문입니다. 트렁크 포트는 기본적으로 신뢰되므로 ARP 패킷은 트렁크에서 DAI를 우회합니다.
각 인터페이스(포트)가 아닌 각 VLAN에 대해 DAI를 구성합니다. 기본적으로 DAI는 모든 VLAN에 대해 비활성화되어 있습니다.
인터페이스를 DHCP 신뢰할 수 있는 포트로 설정하면 ARP 패킷에 대해서도 신뢰할 수 있습니다.
스위칭 디바이스가 EX 시리즈 스위치이고 ELS(Enhanced Layer 2 Software) 구성 스타일을 지원하는 Junos OS를 사용하는 경우, 액세스 인터페이스를 DHCP 신뢰할 수 있는 포트로 구성하는 방법에 대한 자세한 내용은 신뢰할 수 있는 DHCP 서버(ELS) 활성화 를 참조하십시오.
네트워크 디바이스가 연결된 스위칭 디바이스로 전달된 패킷의 경우 ARP 쿼리가 VLAN에서 브로드캐스트됩니다. 이러한 쿼리에 대한 ARP 응답은 DAI 검사를 받습니다.
DAI의 경우, 모든 ARP 패킷은 패킷 전달 엔진에 트랩됩니다. CPU 과부하를 방지하기 위해 라우팅 엔진으로 향하는 ARP 패킷은 속도가 제한됩니다.
DHCP 서버가 다운되고 이전에 유효한 ARP 패킷에 대한 IP-MAC 항목의 임대 시간이 만료되면 해당 패킷이 차단됩니다.
검사된 패킷 우선 순위 지정
검사된 패킷의 우선 순위 지정은 QFX 시리즈 및 EX4600 스위치에서 지원되지 않습니다.
CoS(class-of-service) 포워딩 클래스 및 큐를 사용하여 지정된 VLAN에 대한 DAI 패킷의 우선순위를 지정할 수 있습니다. 이러한 유형의 구성은 지정한 송신 대기열에 해당 VLAN에 대해 검사된 패킷을 배치하여 보안 절차가 우선 순위가 높은 트래픽의 전송을 방해하지 않도록 합니다.
동적 ARP 검사(ELS) 활성화
이 작업에서는 ELS(Enhanced Layer 2 Software) 구성 스타일을 지원하는 EX 시리즈 스위치용 Junos OS를 사용합니다. 스위치에서 ELS를 지원하지 않는 소프트웨어를 실행하는 경우 동적 ARP 검사 활성화(비 ELS)를 참조하십시오.
동적 ARP 검사(DAI)는 ARP 스푸핑으로부터 스위치를 보호합니다. DAI는 LAN에서 ARP 패킷을 검사하고 스위치의 DHCP 스누핑 데이터베이스에 있는 정보를 사용하여 ARP 패킷을 검증하고 ARP 캐시 중독으로부터 보호합니다.
VLAN에서 DAI를 활성화하려면 먼저 VLAN을 구성해야 합니다. ELS를 지원하는 EX 시리즈 스위치용 VLAN 구성(CLI 절차)을 참조하십시오.
CLI를 사용하여 VLAN에서 DAI를 활성화하려면:
[edit vlans vlan-name forwarding-options dhcp-security] user@switch# set arp-inspection
또한보십시오
동적 ARP 검사 활성화(비 ELS)
이 작업에서는 ELS(Enhanced Layer 2 Software) 구성 스타일을 지원하지 않는 EX 시리즈 스위치용 Junos OS를 사용합니다. 스위치에서 ELS를 지원하는 소프트웨어를 실행하는 경우 ELS(Dynamic ARP Inspection) 활성화를 참조하십시오. ELS에 대한 자세한 내용은 Enhanced Layer 2 Software CLI 사용을 참조하십시오.
동적 ARP 검사(DAI)는 ARP 스푸핑으로부터 스위치를 보호합니다. DAI는 LAN에서 ARP 패킷을 검사하고 스위치의 DHCP 스누핑 데이터베이스에 있는 정보를 사용하여 ARP 패킷을 검증하고 ARP 캐시 중독으로부터 보호합니다.
VLAN에서 DAI 활성화
각 인터페이스(포트)가 아닌 각 VLAN에 대해 DAI를 구성합니다. 기본적으로 DAI는 모든 VLAN에 대해 비활성화되어 있습니다.
VLAN 또는 모든 VLAN에서 DAI를 활성화하는 방법:
단일 VLAN의 경우:
content_copy zoom_out_map[edit ethernet-switching-options secure-access-port] user@switch# set vlan vlan-name arp-inspection
모든 VLAN에서 다음을 수행합니다.
content_copy zoom_out_map[edit ethernet-switching-options secure-access-port] user@switch# set vlan all arp-inspection
브리지 도메인에서 DAI 활성화
필요한 경우 브리지 도메인 구성을 참조하여 브리지 도메인을 설정합니다.
브리지 도메인에서 DAI를 활성화하는 방법:
[edit bridge-domains bridge-domain-name forwarding-options dhcp-security] user@device# set arp-inspection
CoS 포워딩 클래스를 적용하여 검사된 패킷의 우선순위 지정
네트워크 혼잡 및 지연 기간 동안 중요한 애플리케이션의 패킷이 삭제되지 않도록 보호하기 위해 CoS(Class of Service)를 사용해야 할 수 있으며, 이러한 중요한 패킷이 들어오고 나가는 동일한 포트에서 DHCP 스누핑의 포트 보안 기능이 필요할 수도 있습니다.
CoS 포워딩 클래스와 큐를 DAI 패킷에 적용하려면:
DAI가 올바르게 작동하는지 확인하기
목적
스위치에서 동적 ARP 검사(DAI)가 작동하는지 확인합니다.
행동
스위치에 연결된 네트워크 디바이스에서 일부 ARP 요청을 보냅니다.
DAI 정보를 표시합니다.
user@switch> show arp inspection statistics ARP inspection statistics: Interface Packets received ARP inspection pass ARP inspection failed --------------- --------------- -------------------- --------------------- ge-0/0/1.0 7 5 2 ge-0/0/2.0 10 10 0 ge-0/0/3.0 12 12 0
의미
샘플 출력은 인터페이스당 수신 및 검사된 ARP 패킷 수를 보여주며, 각 인터페이스에서 통과된 패킷 수와 검사에 실패한 패킷 수를 나열합니다. 스위치는 ARP 요청 및 응답을 DHCP 스누핑 데이터베이스의 항목과 비교합니다. ARP 패킷의 MAC 주소 또는 IP 주소가 데이터베이스의 유효한 항목과 일치하지 않으면 패킷이 삭제됩니다.
