网络安全——局域网内网络攻击的防御策略（端口安全、DHCP监听、动态ARP检测）

1. 局域网安全威胁全景图刚接手公司网络时我遇到过一个诡异现象财务部的电脑突然集体断网但ping网关却通着。后来抓包发现整个VLAN里充斥着伪造的ARP报文。这种隐蔽的攻击正是局域网安全的典型威胁——攻击者不需要攻破防火墙只要接入内网就能兴风作浪。MAC地址攻击就像伪造身份证混入公司。去年某制造企业就遭遇过这类攻击攻击者用Python脚本每秒生成上千个随机MAC地址导致核心交换机的MAC地址表在30秒内爆满。结果呢新员工电脑连上网络却无法通信而攻击者趁机截取了生产系统的数据。DHCP攻击更让人防不胜防。我曾亲眼见过攻击者用树莓派搭建的伪DHCP服务器给客户端分配错误的网关地址。员工访问公司OA时流量全被导到了钓鱼网站。最麻烦的是这种攻击连VPN都无法保护——因为攻击发生在建立VPN连接之前。ARP欺骗则是中间人攻击的经典款。安全团队做过实验在未防护的局域网中攻击者用Ettercap工具只需2秒就能让全网流量改道。金融行业特别怕这个——试想转账时收款账号被篡改的后果。2. 端口安全给交换机装上智能门禁2.1 原理剖析交换机的端口安全就像写字楼的访客管理系统。默认情况下交换机端口允许任何MAC地址接入就像门禁不验身份证。开启端口安全后每个端口都变成了需要刷卡进入的安检通道。动态学习模式类似临时访客登记Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 5 Switch(config-if)# switchport port-security violation restrict这段配置允许端口自动学习前5个MAC地址超出数量则记录日志但不阻断restrict模式。适合会议室等临时接入场景。静态绑定模式则是严格的VIP名单Switch(config-if)# switchport port-security mac-address 0050.7966.6800 Switch(config-if)# switchport port-security mac-address sticky把MAC地址直接写进配置就像给员工工牌授权。sticky参数特别实用——它能将当前连接的合法MAC自动转化为静态绑定。2.2 实战踩坑某次给医院部署时我犯了个低级错误没设置老化时间。结果护士站的移动设备轮换时新设备无法联网。后来加了这条才解决Switch(config-if)# switchport port-security aging time 120 Switch(config-if)# switchport port-security aging type inactivity这个配置让端口在2小时无活动后自动清除MAC记录。就像商场下班后清空当日访客名单第二天重新登记。违规处理策略有三种选择shutdown直接关闭端口像拉响消防警报restrict仅记录不阻断写进黑名单但放行protect静默丢弃假装没收到数据金融客户通常选择shutdown模式配合自动恢复功能Switch(config)# errdisable recovery cause psecure-violation Switch(config)# errdisable recovery interval 300这样端口被攻击触发关闭后5分钟会自动恢复比手动重启交换机优雅多了。3. DHCP监听揪出内网山寨营业厅3.1 部署要点DHCP监听的核心是建立信任链。配置时一定要明确信任端口连接合法DHCP服务器非信任端口连接普通终端典型配置如下Switch(config)# ip dhcp snooping Switch(config)# ip dhcp snooping vlan 10,20 Switch(config)# interface gig1/0/1 Switch(config-if)# ip dhcp snooping trust防饥饿攻击的关键是限速Switch(config-if)# ip dhcp snooping limit rate 30限制每端口每秒最多30个DHCP请求。某高校曾因未设限速被攻击工具耗尽IP池——攻击者每秒发送500个请求比正常用户快50倍。3.2 高级技巧Option 82就像快递追踪系统Switch(config)# ip dhcp snooping information option这个功能会在DHCP报文中添加交换机端口信息。当发现恶意请求时能精确定位到具体接入端口。某次排查中我们就是靠Option 82提供的信息在机房找到了被黑客控制的物联网设备。绑定数据库是防御体系的基石Switch# show ip dhcp snooping binding MacAddress IpAddress Lease(sec) Type VLAN Interface ------------------ --------------- ---------- ------------- ---- -------------------- 00:1A:2B:3C:4D:5E 192.168.1.100 86400 dhcp-snooping 10 Gig1/0/5这张表会自动记录所有客户端的IP-MAC-端口绑定关系。建议定期备份可与后续介绍的DAI联动。4. 动态ARP检测局域网里的火眼金睛4.1 技术原理DAI动态ARP检测就像ARP流量的安检仪。它会检查每个ARP报文是否符合DHCP Snooping绑定表或静态配置的合法对应关系。启用步骤Switch(config)# ip arp inspection vlan 10 Switch(config)# interface gig1/0/24 Switch(config-if)# ip arp inspection trust通常只需要在连接服务器的端口设为trust其他接入端口保持默认的非信任状态。4.2 配置细节限速配置能防ARP洪泛攻击Switch(config-if)# ip arp inspection limit rate 15 burst interval 1限制每秒最多15个ARP报文。某次攻防演练中攻击者用Scapy工具每秒发送10万个ARP报文未防护的交换机直接CPU飙到100%。静态绑定适用于固定IP设备Switch(config)# arp access-list STATIC-ARP Switch(config-arp-acl)# permit ip host 192.168.1.1 mac host 0000.0c07.ac00 Switch(config)# ip arp inspection filter STATIC-ARP vlan 10比如公司的打印机、IP电话等设备适合用这种方式白名单管理。5. 防御体系联动实战5.1 企业网配置案例某上市公司三网融合方案! 端口安全接入层 interface Gig1/0/1 switchport mode access switchport port-security switchport port-security maximum 2 switchport port-security violation restrict switchport port-security aging time 60 ! DHCP监听汇聚层 ip dhcp snooping ip dhcp snooping vlan 10,20 interface Gig2/0/24 ip dhcp snooping trust ! DAI核心层 ip arp inspection vlan 10,20 ip arp inspection validate src-mac dst-mac ip5.2 运维经验排错顺序先查端口安全→再查DHCP绑定→最后看ARP检测日志典型日志%SW_DAI-4-DHCP_SNOOPING_DENY: 1 Invalid ARPs (Req) on Gi1/0/15这种报警往往意味着有设备使用了静态IP但未登记性能影响全功能开启后交换机CPU利用率通常增加5-8%建议在业务低峰期部署