Ngăn chặn DHCP Rouge trong mạng sử dụng Bridge Filter

Th10 17, 2024

by VinhKhang

Trong bài viết trước, chúng tôi đã thảo luận về Bảo mật DHCP để ngăn chặn nhiều Máy chủ DHCP hoặc Lỗi DHCP trong mạng. Một ví dụ, chúng ta có thể sử dụng tham số “Authoritative” trong cấu hình Máy chủ DHCP. Để biết thêm chi tiết, xem liên kết tại đây .
Tuy nhiên, ngoài phương pháp này, chúng ta cũng có thể sử dụng một phương pháp thay thế khác, đó là lọc lưu lượng trên các thiết bị lớp 2. Nói chung, lưu lượng DHCP Discover từ các máy khách chỉ có thể được thực hiện thông qua một liên kết nơi Máy chủ DHCP “Original – Gốc” được kết nối. Và các liên kết khác sẽ bị đóng đối với lưu lượng truy cập DHCP Discover.

1. Quy trình DHCP.

DHCP (Dynamic Host Configuration Protocol) là một giao thức được sử dụng để gán / phân phối động địa chỉ IP cho các thiết bị khách trên mạng. Trong chính MikroTik, nó có thể hoạt động như một DHCP Sever hoặc DHCP Client.
Đối với chính quy trình, DHCP sử dụng giao thức truyền tải UDP (User Datagram Protocol) với các cổng 67 (Dành cho Máy chủ) và 68 (Dành cho Máy khách). Nếu được mô tả bằng sơ đồ quy trình DHCP như sau:

Bằng cách biết cách hoạt động của DHCP ở trên, chúng ta có thể lọc lưu lượng để ngăn các máy chủ DHCP khác can thiệp vào mạng. Trong ví dụ này, những gì chúng ta sẽ lọc là lưu lượng DHCP Discovery từ máy khách .

2. Ví dụ minh họa.

Ví dụ: có một cấu trúc liên kết mạng trong đó trong một mạng IP / mạng con / phân đoạn có một Máy chủ DHCP đang hoạt động. Vô tình có một Máy chủ DHCP khác đang hoạt động, vì vậy có khả năng Máy khách sẽ nhận được Địa chỉ IP từ Máy chủ DHCP Rogue này.
Kết quả là kết nối máy khách bị gián đoạn, máy khách không thể truy cập internet vì nhận được thông tin IP không khớp. Trong ví dụ này, chúng tôi sẽ chặn lưu lượng truy cập DHCP Discover từ các máy khách không phải là máy chủ DHCP ban đầu.

Giống như cấu trúc liên kết ở trên, để lọc lưu lượng, chúng ta có thể tận dụng một Bộ định tuyến MikroTik với chế độ Bridge – hay gọi chế độ cầu nối . Từ chế độ cầu nối này, chúng ta có thể tận dụng tính năng bộ lọc cầu nối để xử lý lưu lượng giao tiếp lớp 2 đi qua.
Giả sử rằng theo cấu trúc liên kết, Máy chủ DHCP ban đầu được kết nối với cổng ether1 trong Bridge và DHCP Rogue và các thiết bị khách được kết nối với một cổng khác. Do đó, chúng ta có thể tạo một quy tắc để cho phép (CHẤP NHẬN) lưu lượng Khám phá DHCP đi qua ether1 và chặn (DROP) trên một cổng ethernet khác.
Cài đặt lọc của chúng tôi sẽ tập trung vào Menu Bridge, cụ thể là trên menu Bridge -> Filter -> nhấp vào Thêm [+] .
Sau đó, đối với các quy tắc mà chúng tôi thêm vào, có 2 quy tắc, đó là quy tắc đầu tiên cho CHẤP NHẬN và quy tắc thứ hai cho HỦY. Luật như sau:

Với quy tắc trên khi có lưu lượng từ máy khách (DHCP Discovery) với Src.Port 68 và Dst-Port 67, giao thức UDP đi ra từ ether1 sẽ là CHẤP NHẬN. Ngoài ra, với cùng một loại lưu lượng, các giao diện gửi đi khác với ether1 sẽ bị loại bỏ.
*) Ghi chú: Đảm bảo quy tắc CHẤP NHẬN được đặt theo thứ tự hàng đầu / số nhỏ nhất trong danh sách.

Nguồn: Routerik