Sicherstellen, dass die ARP-Tabelle des L3-Switches aktuell ist<\/li>\nWenn Ger\u00e4te dabei sind, die h\u00e4ufiger f\u00fcr ein paar Stunden inaktiv sind, dann k\u00f6nnte es sein, dass f\u00fcr diese kein Eintrag in der ARP-Tabelle enthalten sind. Deshalb pinge ich alle Ger\u00e4te in dem Vlan einmal an:<\/p>\n
karstens-macbook-pro:~ karsten$ nmap -sP 192.168.63.0\/24\n\nStarting Nmap 4.76 ( http:\/\/nmap.org ) at 2009-08-28 18:09 CEST\n...\nHost 192.168.63.201 appears to be up.\nHost 192.168.63.254 appears to be up.\nNmap done: 256 IP addresses (174 hosts up) scanned in 48.12 seconds\nkarstens-macbook-pro:~ karsten$ \n<\/code><\/pre>\nAusgeben der ARP-Tabelle des Cisco-L3-Switches:<\/li>\nL3-Switch>term len 0\nL3-Switch>sh arp | i Vlan63\nInternet 192.168.63.254 - 001a.b1f3.9ab2 ARPA Vlan63\nInternet 192.168.63.201 137 001c.79a5.ad41 ARPA Vlan63\nInternet 192.168.63.79 213 0022.63a9.6384 ARPA Vlan63\n...\n<\/code><\/pre>\nDiese Liste wird abgespeichert; z.B. als dai-arp.txt<\/p>\n
Ausgeben der DHCP-Snooping-Tabelle des Cisco-Access-Switches, auf dem DAI konfiguriert werden soll:<\/li>\nAccess-Switch>term len 0\nAccess-Switch>sh ip dhcp snooping binding vlan 63 | i dhcp-snooping\n00:0F:FE:5C:E0:CF 192.168.63.83 223101 dhcp-snooping 63 FastEthernet2\/0\/28\n00:1C:79:A5:AD:41 192.168.63.201 233322 dhcp-snooping 63 FastEthernet1\/0\/28\n...\n<\/code><\/pre>\nAuch diese Liste wird abgespeichert; z.B. als dai-dhcp.txt. Das “| i dhcp-snooping” ist deshalb wichtig, weil das Script nur die reine Tabelle ohne Header erwartet. Das k\u00f6nnte\/sollte ich sicher einmal verbessern. Wenn das Vlan sich \u00fcber mehrere Switche erstreckt, werden diese show-Ausgaben einfach in einer Datei gesammelt.<\/p>\n
Auswerten der beiden Dateien mit dai-check.py:<\/li>\nkarstens-macbook-pro:~ karsten$ .\/dai-check.py dai-arp.txt dai-dhcp.txt\n['Internet', '192.168.63.254', '-', '001a.b1f3.9ab2', 'ARPA', 'Vlan63']\n['Internet', '192.168.63.206', '137', '001c.79a4.af26', 'ARPA', 'Vlan63']\n<\/code><\/pre>\nDas Script dai-check.py sucht jetzt zu jeder IP aus der ARP-Tabelle, ob es diese IP auch in der DHCP-Tabelle gibt. Am Ende wird eine Liste der Eintr\u00e4ge aus der ARP-Tabelle ausgegeben, zu denen es keine Entsprechung in der DHCP-Tabelle gibt. Im obigen Beispiel war das die 192.168.63.254 (das Default-Gateway) und die 192.168.63.206, die tats\u00e4chlich eine statische Konfiguration hat.<\/p>\n
Das Script ist sehr rudiment\u00e4r, so gibt es beispielsweise keinerlei Checks, ob die Tabellen auch wirklich die richtigen Daten beinhalten. Wer falsche Daten eingibt, wird vermutlich auch ein falsches Ergebnis erhalten! \ud83d\ude09<\/p>\n","protected":false},"excerpt":{"rendered":"
Dynamic ARP Inspection (DAI) ist ein Mechanismus in Cisco-Switchen (ab Catalyst 2960), der ARP-Pakete auf F\u00e4lschungen untersucht. Dadurch sollen beispielsweise ARP-Spoofing-Attacken verhindert werden, bei denen ein Angreifer ARP-Antworten sendet, in denen er eine fremde IP mit der eigenen MAC-Adresse verbindet, um sich in die Kommunikation einzuklinken. Wenn DAI auf einem Cisco-Switch aktiviert wird, vergleicht der <\/p>\n
continue reading<\/a><\/div>\n","protected":false},"author":3,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"twitterCardType":"","cardImageID":0,"cardImage":"","cardTitle":"","cardDesc":"","cardImageAlt":"","cardPlayer":"","cardPlayerWidth":0,"cardPlayerHeight":0,"cardPlayerStream":"","cardPlayerCodec":"","footnotes":""},"categories":[5,7],"tags":[176,188,207,358,490],"class_list":["post-2379","post","type-post","status-publish","format-standard","hentry","category-cisco","category-cisco-security","tag-dai","tag-dhcp-snooping","tag-dynamic-arp-inspection","tag-konfiguration","tag-python"],"_links":{"self":[{"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/posts\/2379","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/comments?post=2379"}],"version-history":[{"count":0,"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/posts\/2379\/revisions"}],"wp:attachment":[{"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/media?parent=2379"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/categories?post=2379"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cyber-fi.net\/index.php\/wp-json\/wp\/v2\/tags?post=2379"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
![\"switch\"](\"https:\/\/blog.iwen.de\/wp-content\/uploads\/2009\/04\/switch.png\" "\\"switch\\"")
Dynamic ARP Inspection (DAI) ist ein Mechanismus in Cisco-Switchen (ab Catalyst 2960), der ARP-Pakete auf F\u00e4lschungen untersucht. Dadurch sollen beispielsweise ARP-Spoofing-Attacken verhindert werden, bei denen ein Angreifer ARP-Antworten sendet, in denen er eine fremde IP mit der eigenen MAC-Adresse verbindet, um sich in die Kommunikation einzuklinken.<\/p>\n![\"\"](\"http:\/\/www.assoc-amazon.de\/e\/ir?t=lan2wan-21&l=as2&o=3&a=1587052563\")
<\/p><\/blockquote>\n