DHCP-Snooping für Netzwerksicherheit
DHCP-Snooping-Unterstützung
Dynamic Host Configuration Protocol (DHCP) ist ein Netzwerkverwaltungsprotokoll, das in TCP/IP-Netzwerken verwendet wird, um Netzwerkgeräten IP-Adressen und andere zugehörige Konfigurationsinformationen dynamisch zuzuweisen.
Funktionsweise von DHCP-Snooping
Dynamic Host Configuration Protocol (DHCP) weist den Geräten dynamisch IP-Adressen zu und vermietet Adressen, die wiederverwendet werden können, wenn sie nicht mehr benötigt werden. Hosts oder Endgeräte, die IP-Adressen über DHCP benötigen, müssen mit einem DHCP-Server über das LAN kommunizieren.
Die folgende Abbildung zeigt den DHCP-Snooping-Prozess.
In der Topologie verbindet sich ein Endbenutzergerät mit einem Junos OS-Gerät (Router, Switch oder Firewall). Das Junos OS-Gerät stellt sowohl eine Verbindung zum DHCP-Client als auch zum DHCP-Server her. Das Junos OS-Gerät, das als DHCP-Relay-Agent konfiguriert ist, fungiert als Schnittstelle zwischen DHCP-Clients und dem DHCP-Server. Dieses Junos OS-Gerät überprüft DHCP-Pakete. Der DHCP-Server weist den Clients IP-Adressen zu.
Die DHCP-Snooping-Funktion auf einem Junos OS-Gerät führt die folgenden Aktionen aus:
- Überprüft DHCP-Nachrichten, die von nicht vertrauenswürdigen Quellen empfangen wurden, und filtert ungültige Nachrichten heraus.
- Extrahiert die IP-Adresse, die jedem Client geleast wurde, und erstellt eine Datenbank. Die DHCP-Snooping-Datenbank (oder Bindungstabelle) enthält Informationen über die IP-Adresse, die MAC-Adresse und das VLAN jedes DHCP-Clients.
- Verwendet die DHCP-Snooping-Bindungstabelle, um nachfolgende Anforderungen von nicht vertrauenswürdigen Hosts zu überprüfen. Durch die Überprüfung, ob DHCP-Anfragen von vertrauenswürdigen Quellen stammen, kann das Gerät von Juniper sicherstellen, dass nur gültige DHCP-Anfragen verarbeitet werden.
Auf diese Weise fungiert DHCP-Snooping als Wächter der Netzwerksicherheit, indem es gültige IP-Adressen verfolgt, die ein vertrauenswürdiger DHCP-Server (ein Server, der mit einem vertrauenswürdigen Netzwerkport verbunden ist) nachgeschalteten Netzwerkgeräten zuweist.
DHCPv6 Relay Agent Snooping
Der DHCPv6-Relay-Agent erweitert den DHCP-Relay-Agent um Unterstützung in einem IPv6-Netzwerk. Der DHCPv6-Relay-Agent übergibt Nachrichten zwischen dem DHCPv6-Client und dem DHCPv6-Server, ähnlich wie der DHCP-Relay-Agent ein IPv4-Netzwerk unterstützt. In einer Multi-Relay-Topologie mit mehreren DHCPv6-Relay-Agents zwischen dem Client und dem Server ermöglicht Snooping den dazwischen liegenden Relay-Agents, den Unicast-Datenverkehr vom Client ordnungsgemäß zu verarbeiten und an den Server weiterzuleiten. Das Snooping in dieser Topologie umfasst die folgenden Aktionen:
- Der DHCPv6-Relay-Agent durchsucht eingehende Unicast-DHCPv6-Pakete mithilfe eines Filters mit UDP-Port 547, dem DHCPv6-UDP-Serverport, auf Weiterleitungstabelle-Basis.
- Der DHCPv6-Relay-Agent verarbeitet dann die vom Filter abgefangenen Pakete und leitet die Pakete an den DHCPv6-Server weiter.
Vorteile von DHCP-Snooping
- DHCP-Snooping kann durch das Filtern von IP-Adressen eine zusätzliche Sicherheitsebene bieten. Bei der Filterung wird der Netzwerkdatenverkehr ausgewertet, um die Kommunikation von verifizierten und gültigen IP-Adressen aus zu ermöglichen.
- DHCP-Snooping kann unbefugte DHCP-Aktivitäten im Netzwerk verhindern, indem DHCP-Pakete herausgefiltert werden, die an den falschen Ports ankommen oder einen falschen Inhalt haben.
Konfigurieren der Unterstützung für die Weiterleitung von DHCP-Snooped-Paketen für den lokalen DHCP-Server
Sie können konfigurieren, wie der lokale DHCP-Server mit DHCP-Snooped-Paketen umgeht. Je nach Konfiguration leitet der lokale DHCP-Server die empfangenen Snooped-Pakete entweder weiter oder verwirft sie.
Tabelle 1 zeigt die Aktion, die der Router für Snooped-Pakete des lokalen DHCP-Servers ausführt.
Konfigurierte Schnittstellen sind die Schnittstellen, die mit der group Anweisung in der Hierarchie [edit system services dhcp-local-server] konfiguriert wurden. Nicht konfigurierte Schnittstellen sind solche, die sich im logischen System/in der Routing-Instanz befinden, aber nicht von der Anweisung group konfiguriert wurden.
forward-snooped-clients Konfiguration |
Aktion für konfigurierte Schnittstellen |
Aktion für nicht konfigurierte Schnittstellen |
|---|---|---|
|
abgeworfen |
abgeworfen |
|
weitergegeben |
weitergegeben |
|
weitergegeben |
abgeworfen |
|
abgeworfen |
weitergegeben |
So konfigurieren Sie die DHCP-Snooped-Paketweiterleitung für den lokalen DHCP-Server:
Gehen Sie beispielsweise folgendermaßen wie folgt vor, um den lokalen DHCP-Server so zu konfigurieren, dass DHCP-Snooped-Pakete nur an konfigurierte Schnittstellen weitergeleitet werden:
[edit]
system {
services {
dhcp-local-server {
forward-snooped-clients configured-interfaces;
}
}
}
Siehe auch
Aktivieren und Deaktivieren von DHCP-Snooped-Paketen Unterstützung für DHCP Relay Agent
Der DHCP-Relay-Agent verwendet eine zweiteilige Konfiguration, um zu bestimmen, wie DHCP-Snooped-Pakete behandelt werden sollen. In diesem Thema wird das erste Verfahren beschrieben, bei dem Sie die Snooping-Unterstützung für den DHCP-Relay-Agent aktivieren oder deaktivieren und optional die Standard-Snoopingkonfiguration außer Kraft setzen.
Das zweite Verfahren, das nur für den DHCPv4-Relay-Agent gilt, wird unter Konfigurieren der Unterstützung für die Weiterleitung von DHCP-Snooped-Paketen für den DHCP-Relay-Agent beschrieben und konfiguriert die Weiterleitungsaktion für Snooped-Clients, die angibt, ob der DHCP-Relay-Agent den geschnallten Datenverkehr weiterleitet oder verwirft.
Sie können DHCP global für DHCP-Relay, für eine Gruppe von Schnittstellen oder für eine bestimmte Schnittstelle in einer Gruppe aktivieren oder deaktivieren.
Standardmäßig ist DHCP-Snooping für DHCP-Relay aktiviert. So aktivieren oder deaktivieren Sie die DHCP-Snooping-Unterstützung global:
So aktivieren Sie beispielsweise die globale DHCP-Snooping-Unterstützung:
forwarding-options {
dhcp-relay {
overrides {
allow-snooped-clients;
}
}
}
So aktivieren oder deaktivieren Sie die DHCP-Snooping-Unterstützung für eine Gruppe von Schnittstellen:
Geben Sie an, dass Sie den DHCP-Relay-Agent konfigurieren möchten.
Für DHCP-Relay-Agent:
[edit] user@host# edit forwarding-options dhcp-relay
Für DHCPv6-Relay-Agent:
[edit] user@host# edit forwarding-options dhcp-relay dhcpv6
Geben Sie die benannte Gruppe an.
Für DHCP-Relay-Agent:
[edit forwarding-options dhcp-relay] user@host# edit group group-name
Für DHCPv6-Relay-Agent:
[edit forwarding-options dhcp-relay dhcpv6] user@host# edit group group-name
Geben Sie an, dass Sie die Standardkonfiguration überschreiben möchten.
Für DHCP-Relay-Agent:
[edit forwarding-options dhcp-relay group group-name] user@host# edit overrides
Für DHCPv6-Relay-Agent:
[edit forwarding-options dhcp-relay dhcpv6 group group-name] user@host# edit overrides
Aktivieren oder deaktivieren Sie die DHCP-Snooping-Unterstützung.
So aktivieren Sie DHCP-Snooping:
Für DHCP-Relay-Agent:
[edit forwarding-options dhcp-relay group group-name overrides] user@host# set allow-snooped-clients
Für DHCPv6-Relay-Agent:
[edit forwarding-options dhcp-relay dhcpv6 group group-name overrides] user@host# set allow-snooped-clients
So deaktivieren Sie DHCP-Snooping:
Für DHCP-Relay-Agent:
[edit forwarding-options dhcp-relay group group-name overrides] user@host# set no-allow-snooped-clients
Für DHCPv6-Relay-Agent:
[edit forwarding-options dhcp-relay dhcpv6 group group-name overrides] user@host# set no-allow-snooped-clients
So aktivieren Sie beispielsweise die DHCP-Snooping-Unterstützung auf allen Schnittstellen in der Gruppe boston:
forwarding-options {
dhcp-relay {
group boston {
overrides {
allow-snooped-clients;
}
}
}
}
So aktivieren oder deaktivieren Sie die DHCP-Snooping-Unterstützung auf einer bestimmten Schnittstelle:
Geben Sie an, dass Sie den DHCP-Relay-Agent konfigurieren möchten.
Für DHCP-Relay-Agent:
[edit] user@host# edit forwarding-options dhcp-relay
Für DHCPv6-Relay-Agent:
[edit] user@host# edit forwarding-options dhcp-relay dhcpv6
Geben Sie die benannte Gruppe an, die die Schnittstelle enthält.
Für DHCP-Relay-Agent:
[edit forwarding-options dhcp-relay] user@host# edit group group-name
Für DHCPv6-Relay-Agent:
[edit forwarding-options dhcp-relay dhcpv6] user@host# edit group group-name
Geben Sie die Schnittstelle an, für die Sie DHCP-Snooping konfigurieren möchten.
Für DHCP-Relay-Agent:
[edit forwarding-options dhcp-relay group group-name] user@host# edit interface interface-name
Für DHCPv6-Relay-Agent:
[edit forwarding-options dhcp-relay dhcpv6 group group-name] user@host# edit interface interface-name
Geben Sie an, dass Sie die Standardkonfiguration auf der Schnittstelle überschreiben möchten.
Für DHCP-Relay-Agent:
[edit forwarding-options dhcp-relay group group-name interface interface-name] user@host# edit overrides
Für DHCPv6-Relay-Agent:
[edit forwarding-options dhcp-relay dhcpv6 group group-name interface interface-name] user@host# edit overrides
Aktivieren oder deaktivieren Sie die DHCP-Snooping-Unterstützung.
So aktivieren Sie DHCP-Snooping:
Für DHCP-Relay-Agent:
[edit forwarding-options dhcp-relay group group-name interface interface-name overrides] user@host# set allow-snooped-clients
Für DHCPv6-Relay-Agent:
[edit forwarding-options dhcp-relay dhcpv6 group group-name interface interface-name overrides] user@host# set allow-snooped-clients
So deaktivieren Sie DHCP-Snooping:
Für DHCP-Relay-Agent:
[edit forwarding-options dhcp-relay group group-name interface interface-name overrides] user@host# set no-allow-snooped-clients
Für DHCPv6-Relay-Agent:
[edit forwarding-options dhcp-relay dhcpv6 group group-name interface interface-name overrides] user@host# set no-allow-snooped-clients
So deaktivieren Sie beispielsweise die DHCP-Snooping-Unterstützung auf der Schnittstelle ge-2/1/8.0 in der Gruppe boston:
forwarding-options {
dhcp-relay {
group boston {
interface ge-2/1/8.0 {
overrides {
no-allow-snooped-clients;
}
}
}
}
}
So aktivieren Sie die DHCPv6-Snooping-Unterstützung auf der Schnittstelle ge-3/2/1.1 in der Gruppe sunnyvale:
forwarding-options {
dhcp-relay {
dhcpv6 {
group sunnyvale {
interface ge-3/2/1.1 {
overrides {
allow-snooped-clients;
}
}
}
}
}
}
Siehe auch
DHCP-Snooping-Konfiguration
Deaktivieren von DHCP-Snooping-Filtern
DHCP-Snooping bietet DHCP-Sicherheit durch Identifizierung eingehender DHCP-Pakete. In der standardmäßigen DHCP-Snooping-Konfiguration wird der gesamte Datenverkehr ausgespäht. Sie können die forward-snooped-clients Anweisung optional verwenden, um den ausgeblendeten Datenverkehr auszuwerten und zu bestimmen, ob der Datenverkehr weitergeleitet oder gelöscht wird, je nachdem, ob die Schnittstelle als Teil einer Gruppe konfiguriert ist oder nicht.
Sowohl in der Standardkonfiguration als auch in Konfigurationen, die die Anweisung verwenden, wird der forward-snooped-clients gesamte DHCP-Datenverkehr von der Hardwaresteuerungsebene an die Routing-Ebene der Routing-Instanz weitergeleitet, um sicherzustellen, dass alle DHCP-Pakete abgefangen werden. In bestimmten Topologien, wie z. B. einer Metropolitan Routing-Ringtopologie, kann die Weiterleitung des gesamten DHCP-Datenverkehrs an die Steuerungsebene zu übermäßigem Datenverkehr führen. Die no-snoop Konfigurationsanweisung deaktiviert den Snooping-Filter für DHCP-Datenverkehr, der direkt auf der Hardwaresteuerungsebene weitergeleitet werden kann, z. B. Layer 3-Unicastpakete mit einer gültigen Route, wodurch diese DHCP-Pakete die langsamere Routing-Ebene umgehen. Sie können DHCP-Snooping-Filter ab Junos OS Version 15.1R2 deaktivieren.
So deaktivieren Sie DHCP-Snooping-Filter auf dem lokalen DHCP-Server:
So deaktivieren Sie DHCP-Snooping-Filter auf dem DHCP-Relay-Server:
Geben Sie an, dass Sie den DHCP-Relay-Server konfigurieren möchten.
[edit] user@host# edit forwarding-options dhcp-relay
Deaktivieren Sie DHCP-Snooping-Filter für den lokalen DHCP-Server.
[edit forwarding-options dhcp-relay] user@host# set no-snoop
Geben Sie an, dass Sie den DHCPv6-Relayserver konfigurieren möchten.
[edit forwarding-options dhcp-relay] user@host# edit dhcpv6
Deaktivieren Sie DHCP-Snooping-Filter für den lokalen DHCPv6-Server.
[edit forwarding-options dhcp-relay dhcpv6] user@host# set no-snoop
Siehe auch
Beispiel: Konfigurieren der DHCP-Snooping-Unterstützung für den DHCP-Relay-Agent
In diesem Beispiel wird gezeigt, wie die DHCP-Snooping-Unterstützung für den DHCP-Relay-Agent konfiguriert wird.
Anforderungen
Konfigurieren Sie den DHCP-Relay-Agenten. Weitere Informationen finden Sie unter Übersicht über den erweiterten DHCP-Relay-Agent.
Überblick
In diesem Beispiel konfigurieren Sie die DHCP-Snooping-Unterstützung für den DHCP-Relay-Agent, indem Sie die folgenden Vorgänge ausführen:
Überschreiben Sie die standardmäßige DHCP-Snooping-Konfiguration, und aktivieren Sie die DHCP-Snooping-Unterstützung für die Schnittstellen in der Gruppe frankfurt.
Konfigurieren Sie den DHCP-Relay-Agent so, dass geschnüffelte Pakete nur an konfigurierte Schnittstellen weitergeleitet werden.
Konfiguration
Verfahren
Schritt-für-Schritt-Anleitung
So konfigurieren Sie die DHCP-Relay-Unterstützung für DHCP-Snooping:
Geben Sie an, dass Sie den DHCP-Relay-Agent konfigurieren möchten.
[edit] user@host# edit forwarding-options dhcp-relay
Geben Sie die benannte Gruppe von Schnittstellen an, auf denen DHCP-Snooping unterstützt wird.
[edit forwarding-options dhcp-relay] user@host# edit group frankfurt
Geben Sie die Schnittstellen an, die Sie in die Gruppe aufnehmen möchten. Der DHCP-Relay-Agent betrachtet diese als konfigurierte Schnittstellen, wenn er bestimmt, ob Datenverkehr weitergeleitet oder gelöscht werden soll.
[edit forwarding-options dhcp-relay group frankfurt] user@host# set interface fe-1/0/1.3 upto fe-1/0/1.9
Geben Sie an, dass Sie die Standardkonfiguration für die Gruppe überschreiben möchten.
[edit forwarding-options dhcp-relay group frankfurt] user@host# edit overrides
Aktivieren Sie die DHCP-Snooping-Unterstützung für die Gruppe.
[edit forwarding-options dhcp-relay group frankfurt overrides] user@host# set allow-snooped-clients
Kehren Sie zur
[edit forwarding-options dhcp-relay]Hierarchieebene zurück, um die Weiterleitungsaktion zu konfigurieren, und geben Sie an, dass der DHCP-Relay-Agent Snooped-Pakete nur auf konfigurierten Schnittstellen weiterleitet:[edit forwarding-options dhcp-relay group frankfurt overrides] user@host# up 2
Aktivieren Sie die DHCP-Snooped-Paketweiterleitung für den DHCP-Relay-Agent.
[edit forwarding-options dhcp-relay] user@host# edit forward-snooped-clients
Legen Sie fest, dass Snooped-Pakete nur an konfigurierte Schnittstellen (die Schnittstellen in der Gruppe
frankfurt) weitergeleitet werden.[edit forwarding-options dhcp-relay forward-snooped-clients] user@host# set configured-interfaces
Befund
Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration, indem Sie den show forwarding-options Befehl eingeben. Wenn in der Ausgabe nicht die beabsichtigte Konfiguration angezeigt wird, wiederholen Sie die Anweisungen in diesem Beispiel, um sie zu korrigieren. Die folgende Ausgabe zeigt auch eine Reihe von konfigurierten Schnittstellen in group frankfurt.
[edit]
user@host# show forwarding-options
dhcp-relay {
forward-snooped-clients configured-interfaces;
group frankfurt {
overrides {
allow-snooped-clients;
}
interface fe-1/0/1.3 {
upto fe-1/0/1.9;
}
}
}
Wenn Sie mit der Konfiguration des Geräts fertig sind, wechseln commit Sie aus dem Konfigurationsmodus.
Beispiel: Aktivieren der DHCP-Snooping-Unterstützung für DHCPv6 Relay Agent
Die Snooping-Unterstützung für den DHCPv6-Relay-Agent ist auf dem Router standardmäßig deaktiviert. In diesem Beispiel wird gezeigt, wie die standardmäßige DHCPv6-Relay-Agent-Snoopingkonfiguration überschrieben wird, um DHCPv6-Snooping für eine benannte Gruppe von Schnittstellen und für eine bestimmte Schnittstelle innerhalb einer anderen benannten Gruppe explizit zu aktivieren.
Sie können die DHCPv6-Snooping-Unterstützung auch global aktivieren, indem Sie die Anweisung auf der allow-snooped-clients [edit forwarding-options dhcp-relay dhcpv6 overrides] Hierarchieebene verwenden.
Anforderungen
In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:
Universelle Routing-Plattformen 5G der MX-Serie
Junos OS Version 12.1 oder höher
Bevor Sie beginnen:
Konfigurieren Sie den DHCPv6-Relay-Agent.
Weitere Informationen finden Sie unter DHCPv6 Relay Agent – Übersicht
Konfigurieren Sie benannte DHCPv6-Relay-Agent-Schnittstellengruppen, auf die Sie eine allgemeine DHCP-Konfiguration anwenden möchten.
Weitere Informationen finden Sie unter Gruppieren von Schnittstellen mit allgemeinen DHCP-Konfigurationen.
Überblick
In diesem Beispiel überschreiben Sie die standardmäßige DHCPv6-Relay-Agent-Snooping-Konfiguration, um DHCP-Snooping explizit für die beiden folgenden Optionen zu aktivieren:
Alle Schnittstellen in der Gruppe mit dem Namen
bostonSchnittstelle
ge-3/2/1.1in der Gruppe mit dem Namensunnyvale
Konfiguration
Führen Sie die folgenden Aufgaben aus, um die standardmäßige DHCPv6-Relay-Agent-Snoopingkonfiguration zu überschreiben, um DHCPv6-Snooping für eine benannte Gruppe von Schnittstellen und für eine bestimmte Schnittstelle innerhalb einer benannten Gruppe explizit zu aktivieren:
- CLI Schnellkonfiguration
- Aktivieren der DHCPv6-Snooping-Unterstützung für eine benannte Gruppe von Schnittstellen
- Aktivieren der DHCPv6-Snooping-Unterstützung für eine bestimmte Schnittstelle in einer benannten Gruppe
CLI Schnellkonfiguration
Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle erforderlichen Details, um sie an Ihre Netzwerkkonfiguration anzupassen, und kopieren Sie dann die Befehle, und fügen Sie sie dann in die CLI auf der [edit] Hierarchieebene ein.
set forwarding-options dhcp-relay dhcpv6 group boston overrides allow-snooped-clients set forwarding-options dhcp-relay dhcpv6 group sunnyvale interface ge-3/2/1.1 overrides allow-snooped-clients
Aktivieren der DHCPv6-Snooping-Unterstützung für eine benannte Gruppe von Schnittstellen
Schritt-für-Schritt-Anleitung
So aktivieren Sie die DHCPv6-Snooping-Unterstützung für eine benannte Gruppe von Schnittstellen:
Geben Sie an, dass Sie den DHCPv6-Relay-Agent konfigurieren möchten.
[edit] user@host# edit forwarding-options dhcp-relay dhcpv6
Geben Sie die benannte Gruppe von Schnittstellen an, für die Sie DHCPv6-Snooping aktivieren möchten.
[edit forwarding-options dhcp-relay dhcpv6] user@host# edit group boston
Geben Sie an, dass Sie die DHCPv6-Standardkonfiguration für die Schnittstellen in dieser Gruppe außer Kraft setzen möchten.
[edit forwarding-options dhcp-relay dhcpv6 group boston] user@host# edit overrides
Aktivieren Sie die DHCPv6-Snooping-Unterstützung für alle Schnittstellen in der Gruppe
boston.[edit forwarding-options dhcp-relay dhcpv6 group boston overrides] user@host# set allow-snooped-clients
Befund
Bestätigen Sie im Konfigurationsmodus die Ergebnisse Ihrer Konfiguration, indem Sie die show Anweisung auf Hierarchieebene [edit forwarding-options dhcp-relay] absetzen. Wenn in der Ausgabe nicht die beabsichtigte Konfiguration angezeigt wird, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.
[edit forwarding-options dhcp-relay]
user@host# show
dhcpv6 {
group boston {
overrides {
allow-snooped-clients;
}
}
}
Wenn Sie mit der Konfiguration des Routers fertig sind, wechseln Sie commit aus dem Konfigurationsmodus.
Aktivieren der DHCPv6-Snooping-Unterstützung für eine bestimmte Schnittstelle in einer benannten Gruppe
Schritt-für-Schritt-Anleitung
So aktivieren Sie die DHCPv6-Snooping-Unterstützung für eine bestimmte Schnittstelle innerhalb einer benannten Gruppe von Schnittstellen:
Kehren Sie zur
[edit forwarding-options dhcp-relay dhcpv6]Hierarchieebene zurück, um anzugeben, dass Sie den DHCPv6-Relay-Agent konfigurieren möchten.[edit forwarding-options dhcp-relay dhcpv6 group boston overrides] user@host# up 2
Geben Sie die benannte Gruppe an, die die Schnittstelle enthält.
[edit forwarding-options dhcp-relay dhcpv6] user@host# edit group sunnyvale
Geben Sie die Schnittstelle in der Gruppe
sunnyvalean, für die Sie DHCPv6-Snooping aktivieren möchten.[edit forwarding-options dhcp-relay dhcpv6 group sunnyvale] user@host# edit interface ge-3/2/1.1
Geben Sie an, dass Sie die standardmäßige DHCPv6-Konfiguration für die Schnittstelle
ge-3/2/1.1in der Gruppesunnyvaleüberschreiben möchten.[edit forwarding-options dhcp-relay dhcpv6 group sunnyvale interface ge-3/2/1.1] user@host# edit overrides
Aktivieren Sie die DHCPv6-Snooping-Unterstützung für die Schnittstelle
ge-3/2/1.1in der Gruppesunnyvale.[edit forwarding-options dhcp-relay dhcpv6 group sunnyvale interface ge-3/2/1.1 overrides] user@host# set allow-snooped-clients
Befund
Bestätigen Sie im Konfigurationsmodus die Ergebnisse Ihrer Konfiguration, indem Sie die show Anweisung auf Hierarchieebene [edit forwarding-options dhcp-relay] absetzen. Wenn in der Ausgabe nicht die beabsichtigte Konfiguration angezeigt wird, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.
[edit forwarding-options dhcp-relay]
user@host# show
dhcpv6 {
group boston {
overrides {
allow-snooped-clients;
}
}
group sunnyvale {
interface ge-3/2/1.1 {
overrides {
allow-snooped-clients;
}
}
}
}
Wenn Sie mit der Konfiguration des Routers fertig sind, wechseln Sie commit aus dem Konfigurationsmodus.
Verifizierung
Gehen Sie folgendermaßen vor, um die DHCPv6-Konfiguration in einer Multi-Relay-Topologie zu überprüfen:
Überprüfen der Adressbindungen für DHCPv6-Relay-Agent-Clients
Zweck
Überprüfen Sie die DHCPv6-Adressbindungen in der DHCP-Clienttabelle (Dynamic Host Configuration Protocol).
Aktion
Zeigen Sie detaillierte Informationen zu Adressbindungen für DHCPv6-Relay-Agent-Clients an.
user@host > show dhcpv6 relay binding detail
Session Id: 13
Client IPv6 Prefix: 2001:db8:0:8001::5/128
Client DUID: LL0x1-00:00:5e:00:53:02
State: BOUND(DHCPV6_RELAY_STATE_BOUND)
Lease Expires: 2011-11-21 06:14:50 PST
Lease Expires in: 293 seconds
Lease Start: 2011-11-21 06:09:50 PST
Incoming Client Interface: ge-3/2/1.1
Server Address: unknown
Next Hop Server Facing Relay: 2001:db8::2
Server Interface: none
Client Id Length: 10
Client Id: /0x00030001/0x00006503/0x0102
Bedeutung
Das Server Address Feld in der Befehlsausgabe zeigt in der show dhcpv6 relay binding detail Regel die IP-Adresse des DHCPv6-Servers an. In diesem Beispiel gibt der Server Address Wert unknown im Feld an, dass es sich um eine Topologie mit mehreren Relays handelt, bei der sich der DHCPv6-Relay-Agent nicht direkt neben dem DHCPv6-Server befindet und die IP-Adresse des Servers nicht erkennt.
In diesem Fall enthält die Ausgabe stattdessen das Next Hop Server Facing Relay Feld, das die Adresse des nächsten Hops in Richtung des DHCPv6-Servers anzeigt.
Verhindern von DHCP-Spoofing
Ein Problem, das manchmal bei DHCP auftritt, ist DHCP spoofing. Beim DHCP-Spoofing überflutet ein nicht vertrauenswürdiger Client ein Netzwerk mit DHCP-Nachrichten. Häufig nutzen diese Angriffe Quell-IP-Adressen-Spoofing, um die wahre Quelle des Angriffs zu verschleiern.
DHCP-Snooping verhindert DHCP-Spoofing durch Kopieren von DHCP-Nachrichten auf die Steuerungsebene und Verwenden der Informationen in den Paketen zum Erstellen von Anti-Spoofing-Filtern. Die Anti-Spoofing-Filter binden die MAC-Adresse eines Clients an seine DHCP-zugewiesene IP-Adresse und verwenden diese Informationen zum Filtern gefälschter DHCP-Nachrichten. In einer typischen Topologie verbindet ein Carrier-Edge-Router (in dieser Funktion auch als Breitband-Netzwerk-Gateway [BNG] bezeichnet) den DHCP-Server mit dem Router der MX-Serie (oder Breitbanddienstaggregator [BSA]), der das Snooping durchführt. Der Router der MX-Serie stellt eine Verbindung zum Client und zum BNG her.
Um DHCP-Snooping zu konfigurieren, schließen Sie die entsprechenden Schnittstellen in eine DHCP-Gruppe ein. Sie können DHCP-Snooping für VPLS-Umgebungen und Bridge-Domänen konfigurieren.
In einer VPLS-Umgebung werden DHCP-Anfragen über Pseudowires weitergeleitet. Sie konfigurieren DHCP-Snooping über VPLS auf Hierarchieebene
[edit routing-instances routing-instance-name].In Bridge-Domänen funktioniert DHCP-Snooping auf der Basis jeder Lern-Bridge. Für jede Lerndomäne muss eine Upstreamschnittstelle konfiguriert sein. Diese Schnittstelle fungiert als Flood-Port für DHCP-Anfragen von der Client-Seite. DHCP-Anforderungen werden lerndomänenübergreifend in einer Bridge-Domäne weitergeleitet. Sie konfigurieren DHCP-Snooping für Bridgedomänen auf Hierarchieebene
[edit routing-instances routing-instance-name bridge-domains bridge-domain-name].
So konfigurieren Sie DHCP-Relay, um DHCP-Spoofing zu verhindern:
Sie können die Schnittstellenunterstützung für DHCP-Snooped-Clients explizit aktivieren und deaktivieren. Weitere Informationen finden Sie unter Aktivieren und Deaktivieren der Unterstützung von DHCP-Snooped-Paketen für den DHCP-Relay-Agent.
Siehe auch
Tabellarischer Änderungsverlauf
Die Unterstützung der Funktion hängt von der Plattform und der Version ab, die Sie benutzen. Verwenden Sie Funktionen entdecken , um festzustellen, ob eine Funktion auf Ihrer Plattform unterstützt wird.