Представьте, что вы пришли в офис, а ваш компьютер внезапно перестал видеть интернет. Вроде бы кабель подключен, индикаторы горят, но пакеты куда-то пропадают. А через час выясняется, что из корпоративного аккаунта пропали деньги. Возможно, в вашей сети кто-то подменил адреса.
Подмена MAC или IP-адресов – одна из самых коварных атак в локальных сетях. Злоумышленник заставляет коммутатор думать, что он – вы. Или что он – маршрутизатор. Или что он – сервер. После этого весь трафик может пойти через его компьютер. Как этого не допустить? Давайте разберем ключевые механизмы защиты.
DHCP snooping: кто арендовал адрес на самом деле
Атака часто начинается с поддельного DHCP-сервера. Злоумышленник запускает его на своем ноутбуке и раздает клиентам «липовые» настройки – например, указывает себя в качестве шлюза по умолчанию. Все данные тогда потекут через его компьютер.
DHCP snooping предотвращает это. Коммутатор начинает следить за DHCP-сообщениями и делит порты на два типа: доверенные (trusted) и недоверенные (untrusted). На доверенные порты (например, подключенные к легитимному DHCP-серверу) можно отправлять любые DHCP-ответы. А на недоверенных портах (обычно – пользовательские порты) коммутатор будет блокировать любые DHCP-ответы. Так фальшивый сервер просто не сможет раздавать адреса.
Практическая польза: вы можете быть уверены, что сотрудник, подключившийся к розетке в коридоре, получит IP-адрес только от вашего сервера, а не от чужого устройства.
Dynamic ARP Inspection (DAI): контроль за ARP-мониторингом
ARP-таблица в коммутаторе – это записная книжка, где указано, какому MAC-адресу принадлежит тот или иной IP. Атака ARP spoofing подменяет эти записи. Злоумышленник может отправить в сеть фальшивый ARP-ответ, заявив: «IP-адрес шлюза 192.168.1.1 теперь у меня, мой MAC – 00:11:22:33:44:55». Коммутатор поверит, и весь трафик к шлюзу отправится атакующему.
Динамическая ARP инспекция работает в паре с DHCP snooping. Коммутатор использует таблицу аренды DHCP (которая теперь защищена), чтобы проверять соответствие IP и MAC в каждом ARP-сообщении. Если кто-то попытается объявить, что у него чужой IP, коммутатор отбросит этот пакет. Для статических IP-адресов (например, у серверов) можно создать статические ARP-записи вручную.
Что это значит для вас? Даже если вредоносная программа на компьютере сотрудника попытается провести ARP-атаку, коммутатор ее нейтрализует. Защита от ARP-атак становится автоматической.
IP Source Guard: двойная проверка отправителя
Представьте, что злоумышленник вручную прописал себе IP-адрес вашего файлового сервера. DHCP snooping и DAI могут не помочь, ведь адрес не получен по DHCP. Здесь вступает в дело IP Source Guard.
Этот механизм работает на втором уровне и проверяет, имеет ли право отправитель использовать тот IP-адрес, который указан в пакете. Он также опирается на таблицу доверенных связок IP-MAC от DHCP snooping (или статические записи). Если пакет пришел с адресом, который не числится за данным портом, он отбрасывается.
На практике это означает, что сотрудник не сможет просто так взять и прописать себе любой адрес в сети. Это серьезно повышает безопасность коммутатора.
Портовая безопасность и фильтрация MAC-адресов
А если злоумышленник подменит не IP, а MAC-адрес? Или подключит к одному порту свитча неофициальный хаб с несколькими устройствами? Здесь работает контроль доступа на основе портов.
Вы настраиваете портовую безопасность (port security) и задаете правила. Например, можно разрешить порту запомнить только один, доверенный MAC-адрес. Или ограничить количество MAC-адресов до пяти. Если на порту появится новый, неавторизованный MAC, коммутатор может заблокировать порт или отправить вам уведомление.
Это решает конкретную задачу: к порту в переговорной комнате можно подключить только один проектор. Если кто-то воткнет туда свитч и еще пять ноутбуков, порт отключится. Это и есть фильтрация MAC-адресов в действии.
Изоляция и 802.1X: серьезные меры
Иногда нужно не просто фильтровать, а полностью изолировать устройства друг от друга. Например, в гостинице или в сети провайдера, где клиенты не должны видеть соседей.
Тут помогают VLAN и Private VLAN. Они логически разделяют трафик. А изоляция портов (port isolation) запрещает прямое общение между клиентскими портами, даже если они в одной VLAN.
Но самый надежный способ – это протокол 802.1X. Он требует аутентификации устройств перед тем, как дать им доступ к сети. Устройство подключается к порту, но коммутатор (authenticator) отправляет его на сервер аутентификации (например, RADIUS). Только после успешной проверки учетных данных порт открывается для данных. Это как швейцар на входе, который проверяет пропуск.
Для кого это важно? Для компаний, где важна максимальная безопасность сети. С 802.1X даже если злоумышленник подключит ноутбук к кабелю, он просто не получит доступ без логина и пароля.
Что делать прямо сейчас?
Не обязательно внедрять все сразу. Начните с малого.
- Включите DHCP snooping на всех пользовательских VLAN. Это основа.
- Активируйте Dynamic ARP Inspection на тех же VLAN. Это остановит самые частые атаки.
- На критических портах (серверы, инфраструктура) настройте статически доверенные порты и статические ARP-записи.
- Постепенно внедряйте IP Source Guard и портовую безопасность там, где это уместно.
Эти механизмы не заменяют межсетевой экран, но создают мощную линию обороны внутри самой сети. Они превращают ваш коммутатор из простогоителя пакетов в активного защитника. Вы строите не просто сеть, а безопасную среду, где каждое устройство – на своем месте. И это того стоит.