基本介紹
- 中文名：cisco DAI
- 外文名：cisco dai
- 性質：個別機器
- 類別：內的接口
- 釋義：網路套用
簡介,防範方法,配置示例,
簡介
cisco的DAI技術
ARP防範在全部是Cisco交換網路里，可以通過綁定每台設備的ip和mac地址可以解決。但是這樣做比較麻煩，可以用思科 Dynamic ARP Inspection 機制解決。
防範方法
思科 Dynamic ARP Inspection (DAI)在交換機上提供IP位址和MAC地址的綁定， 並動態建立個別機器系。DAI 以 DHCP Snooping綁定表為基礎，對於沒有使用DHCP的伺服器個別機器可以採用靜態添加ARP access-list實現。DAI配置針對VLAN，對於同一VLAN內的接口可以開啟D內的接口關閉。通過DAI可以控制某個連線埠的ARP請求報文數量。通過這些技術可以防範“中間人”攻擊。
配置示例
IOS 全局命令：
ip dhcp snooping vlan 100,200
no ip dhcp snooping information option
ip dhcp snooping
ip arp inspection vlan 100,200 /* 定義對哪些 VLAN 進行 ARP 報文檢測
ip arp inspection log-buffer entries 1024
ip arp inspection log-buffer logs 1024 interval 10
IOS 接口命令：
ip dhcp snooping trust
ip arp inspection trust /* 定義哪些接口是信任接口，通常是網路設備接口， TRUNK 接口等
ip arp inspection limit rate 15 (pps) /* 定義接口每秒 ARP 報文數量
對於沒有使用 DHCP 設備可以採用下面辦法：
arp access-list static-arp
permit ip host 10.66.227.5 mac host 0009.6b88.d387
ip arp inspection filter static-arp vlan 201
配置DAI後的效果：
在配置 DAI技術的接口上，用戶端不能採用指定地址地址將接入網路。
由於 DAI檢查 DHCP snooping綁定表中的IP和MAC對應關係，無法實施中間人攻擊，攻擊工具失效。
下表為實施中間人攻擊是交換機的警告：
3w0d: %SW_DAI-4-DHCP_SNOOPING_DENY: 1 Invalid ARPs (Req) on Fa5/16,
vlan 1.([000b.db1d.6ccd/192.168.1.200/0000.0000.0000/192.168.1.2
由於對 ARP請求報文做了速度限制，客戶端無法進行認為或者病毒進行的IP掃描、探測等行為，如果發生這些行為，
交換機馬上報警或直接切斷掃描機器。如下表所示：
3w0d: %SW_DAI-4-PACKET_RATE_EXCEEDED: 16 packets received in 184 milliseconds on Fa5/30. ******報警
3w0d: %PM-4-ERR_DISABLE: arp-inspection error detected on Fa5/30, putting Fa5/ 30 in err-disable state ******切斷連線埠
I49-4500-1#.....sh int f.5/30
FastEthernet5/30 is down, line protocol is down (err-disabled)
Hardware is Fast Ethernet Port , address is 0002.b90e .3f 4d (bia 0002.b90e .3f 4d)
MTU 1500 bytes, BW 100000 Kbit, DLY 100 usec,
reliability 255/255, txload 1/255, rxload 1/255
I49-4500-1#......
用戶獲取 IP位址後，用戶不能修改IP或MAC，如果用戶同時修改IP和MAC必須是網路內部合法的IP和MAC才可，
對於這種修改可以使用下面講到的 IP Source Guard技術來防範。下表為手動指定IP的報警：
3w0d: %SW_DAI-4-DHCP_SNOOPING_DENY: 1 Invalid ARPs (Req) on Fa5/30,
vlan 1.([000d.6078.2d95/192.168.1.100/0000.0000.0000/192.168.1.100/01:52:28 UTC Fri Dec 29 2000 ])
上面的情況，Cisco 交換機會在運行一段時間以後變得緩慢，CPU利用率達到100%，
性能嚴重下降。經過分析我們發現，在開始套用Dynamic ARP Inspection時，交換機會記錄大量的數據包，當連線埠通過的數據包過多時，
交換機會認為遭受DoS攻擊，從而將連線埠自動errdisable，造成通信中斷。
為了解決這個問題，我們需要加入命令errdisable recovery cause arp-inspection
