DHCP snooping

redessegurança

Um recurso de switch que só permite respostas de atribuição de endereço vindas de portas que você declarou confiáveis.

Existe porque o DHCP não tem autenticação: qualquer dispositivo do segmento pode responder, e um cliente pode simplesmente aceitar a primeira oferta que ouvir. Um servidor invasor pode entregar o próprio endereço como gateway e virar em silêncio o caminho de tudo. Confiar só nas portas que levam aos servidores reais elimina essa classe inteira de ataque.

O snooping divide as portas do switch em confiáveis e não confiáveis. Mensagens de servidor, como o DHCPOFFER, só são repassadas a partir de portas confiáveis e são descartadas nas outras, então um servidor invasor numa porta de acesso não alcança ninguém. Nos switches Juniper ele vem desligado; uma vez ligado, portas trunk são confiáveis e portas de acesso não, salvo configuração em contrário. A RFC 7513 enuncia a mesma regra para validação de endereço de origem: mensagens de servidor para cliente vindas de conexões sem o atributo DHCP-Trust MUST ser descartadas, e esse atributo é falso por padrão.

Enquanto observa, o switch monta uma tabela de bindings com as informações de lease das respostas do servidor e apaga cada entrada quando o lease expira. As mensagens de servidor que ele registra vindas de portas não confiáveis são um jeito de achar um servidor invasor.

A ameaça está documentada. Em 2008, uma variante de malware rodava um servidor DHCP em PCs infectados que respondia a cada discover com a própria oferta, numa corrida contra o servidor legítimo; uma variante de 2009 existia para espalhar o endereço de um servidor DNS malicioso. A exaustão do pool, uma enxurrada de pedidos de endereços MAC forjados, pede outro controle: um limite de endereços MAC por porta.

Também conhecido como: trusted port, dhcp binding table, untrusted port

← Todos os verbetes do glossário