---
tags: Network Basic
---

# Занятие 5. Безопасность локальной сети

## Практическая работа №5

### Часть 1. Первоначальная настройка

* Собрали топологию

* Настроили VLAN на Switch

* Настроили интерфейсы на Kali MITM

* Настроили Firewall

* Добавили метки для VLAN

* Настроили правила

* Настроили интерфейсы eth0/3 и 1/0 (Смотрят на Kali Linux)

* Kali Linux получила адреса по DHCP

### Часть 2. MAC-Spoofing

* Проверили таблицу MAC-адресов на коммутаторе

* Изменили MAC-адрес на MAC-адрес ВМ Win7

* Проверили таблицу маршрутизации. Видно, что на int e0/3 теперь MAC-адрес=5000.0002.0000

* С Debian отправляем ping на IP-адрес Win7

* Wireshark фиксируем трафик

#### Защита от MAC-Spoofing

* Задали на int e0/3 статический MAC-адрес

* Снова изменили MAC-адрес Kali Linux и запустили ping. Связь заблокирована

* Коммутатор сообщил об атаке и таблица MAC-адресов не изменилась

### Часть 3. ARP-Spoofing

* На Kali MITM настроили forwarding трафика

* Запустили атаку

* В Wireshark обнаружили трафик от адреса 192.168.10.10

#### Защита от ARP-Spoofing и DHCP-Starvation

* Настроили Switch

* После запуска атаки в Wireshark не удалось перехватить трафик, видны только ARP-кадры

* Switch сигнализирует об атаке

### Часть 4. Атака на DHCP

* Запустили Yersinia и установили MAC-адрес Firewall

* Запустили атаку

* В Wireshark обнаружили некоторое количество пакетов

* Данные в разделе "Leases" не изменились

* После отключения настройки (dhcp snooping) снова запустили атаку

* В Wireshark зафиксировали огромное количество пакетов

* Установили DHCPStarvator

* Запустили атаку

* В трафике видно большое количество DHCP-запросов

* Раздел "Leases" заполнился

### Часть 5. CAM-table overflow

* Запустили атаку

* В трафике видим ipv4 пакеты

* Таблица MAC-адресов на коммутаторе заполнилась

#### Защита от CAM-table overflow

* Настроили port-security

* Снова запустили атаку

* Количество MAC-адресов не изменилось

* А интерфейс перешел в err-disabled

* Настроили "поведение" интерфейса на отброс пакетов

* После запуска атаки коммутатор сигнализирует об этом и количество MAC-адресов не увеличивается

### Часть 6. VLAN-Hopping

* Настроили сабинтерфейсы

* Запустили Wireshark и перехватили трафик из VLAN 20

* Также можно обнаружить номера VLAN в дампе трафика

#### Защита от VLAN-Hopping

* Отключить протокол DTP (nonegotiate);
* Не использовать VLAN'ы по умолчанию;
* Отключить неиспользуемые порты.

### Часть 7. Настройка ACL

* Собрали топологию

* Наастроили маршрутизатор

* Настроили коммутатор

* Настроили сеть на Win7

* Настроили сеть на Kali Linux

* Настроили сеть на Debian

* Также был установлен nginx

* С Kali Linux доступ на веб-ресурс отсутствует

* Пинг успешно проходит

* Win7 имеет доступ в интернет и VLAN1. К Debian доступа нет

* Debian не имеет доступ в VLAN1,10

* В интернет доступ есть