DHCP Snooping là gì? Cách cấu hình DHCP Snooping mang lại hiệu quả

942

27-02-2025

DHCP Snooping là một kỹ thuật bảo mật trong mạng máy tính nhằm ngăn chặn các cuộc tấn công liên quan đến giao thức DHCP. Cùng Bizfly Cloud tìm hiểu chi tiết về cách hoạt động và vai trò của nó trong việc bảo vệ mạng của bạn khỏi những mối đe dọa tiềm ẩn.

DHCP Snooping là gì?

DHCP Snooping là một tính năng bảo mật lớp 2, tương tự như một tường lửa, được tích hợp vào hệ điều hành của bộ chuyển mạch mạng (switch) hoặc bộ định tuyến để tăng cường bảo mật mạng. Nó hoạt động bằng cách giám sát lưu lượng DHCP (Dynamic Host Configuration Protocol) và phân loại các cổng của switch thành cổng tin cậy (trusted) và không tin cậy (untrusted).

Tính năng này ghi lại thông tin về các gói DHCP được gửi và nhận trong mạng, đảm bảo rằng chỉ những server DHCP đáng tin cậy mới có thể cung cấp địa chỉ IP cho các client.

Vai trò của DHCP Snooping

DHCP Snooping đóng vai trò cực kỳ quan trọng trong việc bảo vệ mạng khỏi các cuộc tấn công. Các vai trò của DHCP Snooping bao gồm:

Bảo vệ chống lại các server DHCP giả mạo: Việc xác định và ngăn chặn các server DHCP không được ủy quyền sẽ giúp bảo vệ khách hàng khỏi việc nhận các cài đặt sai lệch có thể gây rối loạn trong mạng.
Theo dõi và ghi lại thông tin mạng: Vai trò của DHCP Snooping còn có việc ghi lại các thông tin về các yêu cầu DHCP và phản hồi. Quản trị viên có thể xem lịch sử của các địa chỉ IP được cấp phát, từ đó dễ dàng nhận diện các vấn đề có thể xảy ra trong mạng.
Tăng cường an ninh tổng thể cho mạng: Các thiết bị không được phép kết nối sẽ bị chặn, chỉ những thiết bị hợp lệ mới có thể truy cập tài nguyên trong mạng.

DHCP Snooping hoạt động như thế nào?

DHCP Snooping hoạt động như một người giám sát lưu lượng DHCP trên mạng, đặc biệt là các gói tin broadcast. Khi một thiết bị (máy khách) yêu cầu cấp địa chỉ IP, DHCP Snooping sẽ thu thập các dữ liệu quan trọng như:

Địa chỉ MAC của thiết bị
Địa chỉ IP mà nó yêu cầu
Thời gian cấp phát (lease) địa chỉ IP

Sau đó, nó sẽ đối chiếu thông tin này với dữ liệu được cung cấp bởi máy chủ DHCP tin cậy. Nếu phát hiện bất kỳ sự khác biệt nào, yêu cầu cấp IP sẽ bị chặn và đồng thời, một cảnh báo sẽ được gửi đến người quản trị mạng.

Các cuộc tấn công đã được DHCP Snooping ngăn chặn

Tính năng DHCP Snooping không chỉ giúp bảo vệ mạng khỏi các server DHCP giả mạo mà còn có khả năng ngăn chặn một số cuộc tấn công phổ biến khác.

DHCP Spoofing Attack (Giả mạo DHCP để tấn công)

Cuộc tấn công giả mạo DHCP xảy ra khi một kẻ tấn công thiết lập một server DHCP giả mạo trong mạng. Mục tiêu của cuộc tấn công này là khiến các client kết nối vào server giả mạo thay vì server hợp lệ. Khi đó, kẻ tấn công có thể kiểm soát các địa chỉ IP, thay đổi cấu hình mạng và thu thập thông tin nhạy cảm từ người dùng.

DHCP Snooping sẽ ngăn chặn các cuộc tấn công này bằng cách không cho phép các server DHCP không được ủy quyền gửi phản hồi cho yêu cầu DHCP. Chỉ những server được xác thực mới có thể tương tác với các client trong mạng, do đó giảm thiểu khả năng bị tấn công.

DHCP Starvation Attack (Tấn công làm sập máy chủ)

Tấn công làm sập DHCP thường diễn ra khi kẻ tấn công cố gắng lấy hết tất cả các địa chỉ IP có sẵn từ server DHCP. Bằng cách gửi nhiều yêu cầu DHCP giả mạo, kẻ tấn công có thể làm cho server DHCP không còn địa chỉ IP nào để cấp phát cho các client hợp lệ, dẫn đến tình trạng gián đoạn dịch vụ.

DHCP Snooping có khả năng theo dõi và ghi lại các yêu cầu DHCP, giúp phát hiện các hành vi bất thường.

Làm sao để cấu hình DHCP Snooping?

Dưới đây là các bước chung để cấu hình DHCP Snooping trên các thiết bị chuyển mạch (switch) và bộ định tuyến (router) Cisco:

Bật DHCP Snooping Globally: Kích hoạt tính năng DHCP Snooping trên switch Cisco.

SW1(config)#ip dhcp snooping

Bật DHCP Snooping cho từng VLAN: Bật DHCP Snooping cho các VLAN cụ thể.

SW1(config)#ip dhcp snooping vlan 10

Cấu hình các cổng tin cậy (Trusted Ports): Xác định các cổng nào là tin cậy

SW1(config)#interface FastEthernet0/1

SW1(config-if)#ip dhcp snooping trust

Tùy chọn giới hạn tốc độ yêu cầu DHCP (DHCP Request Rate):

SW1(config)# interface FastEthernet0/1

SW1(config-if)# ip dhcp snooping limit rate 20

Xác minh DHCP Snooping: Kiểm tra trạng thái và các ràng buộc (bindings) của DHCP Snooping.

SW1(config)# show ip dhcp snooping

SW1(config)# show ip dhcp snooping binding

Kết luận

DHCP Snooping là một tính năng bảo mật thiết yếu giúp bảo vệ mạng khỏi các cuộc tấn công. Qua việc ngăn chặn các server DHCP giả mạo không chỉ tăng cường bảo mật mà còn cung cấp một môi trường mạng ổn định cho các thiết bị kết nối.

Như vậy có thể thấy rằng việc cấu hình và duy trì DHCP Snooping cũng là một phần quan trọng trong chiến lược bảo mật mạng tổng thể, giúp quản trị viên nhận diện và ứng phó nhanh chóng với những mối đe dọa tiềm ẩn.