---
# System prepended metadata

title: Макаров Дмитрий Владиславович - Networks basic. Практическая работа №5. Безопасность локальной сети

---

# Макаров Дмитрий Владиславович - Networks basic. Практическая работа №5. Безопасность локальной сети

[toc]

# Безопасность локальной сети

==Первоначальная топология==

---
![](https://i.imgur.com/hQWGxxl.png)

---

Настройка **роутера**

---
![](https://i.imgur.com/dWUTgcW.png)

---
Настройка интерфейсов **Kali-MITM**

---
![](https://i.imgur.com/KwVqmde.png)

---
Настройка **Firewall**

---
![](https://i.imgur.com/IFSlE6I.png)

---
Настройка **Debian**

---
![](https://i.imgur.com/OqGpAHh.png)

---
Найстройка **Windows 7**

---
![](https://i.imgur.com/eHSoAkP.png)

---
## Часть 1. Атака ARP-Spoof и атака на DHCP

### Атака ARP-Spoof

1.1 Узнаем адрес **Win7** 

`nmap -sn 192.168.10.0/24`

---
![](https://i.imgur.com/fLAd024.png)

---
1.2 Проведём *ping* и откроем **ARP** таблицу, что

`arp -a`

---
![](https://i.imgur.com/QkBc6H2.png)

---
1.3 Проведём **arp-spoofing атаку**

`arpspoof -i eth0 -t 192.168.10.10 -r 192.168.10.254`

---
![](https://i.imgur.com/vKv5991.png)

---
1.4 Зайдём на сайт **Google** в **Windows 7** и помощью **Wireshark** увидим трафик в **Kali Linux**

---
![](https://i.imgur.com/GnEv6Sp.png)

---
1.5 Настроим защиту от **arp-spoofing** в **Switch**

---
![](https://i.imgur.com/FhqKsL9.png)

---
1.6 **Wireshark** перествл перехватывать трафик, видны только **arp-пакеты**

---
![](https://i.imgur.com/yvEAxPh.png)

---
### Атака на DHCP

1.7 Запустм **Yersinia** и установим **MAC-адрес**

---
![](https://i.imgur.com/7Eivsry.png)

---
1.8 Выберем атаку на **DHCP** - **sending Discover packet**

---
![](https://i.imgur.com/XTIFVxD.png)

---
1.9 Запустим атаку

---
![](https://i.imgur.com/2kRiM1v.png)

---
1.10 В Настроим защиту от **DHCP-snooping** видим большое количество Настроим защиту от **DHCP-snooping**

---
![](https://i.imgur.com/6YpsYEw.png)

---
1.11 Запустим атаку через **DHCPStarvator**

`python strvit.py -i eth0 192.168.1.0/24 -start 1 -end 254 -dst_mac 50:00:00:05:00:01`

---
![](https://i.imgur.com/4pfM00z.png)

---
1.12 Раздел *Leases* в **Firewall** заполнился

---
![](https://i.imgur.com/cADRLSA.png)

---
1.13 В трафике видны запросы *ACK*, *Request* и *NAK* по **DHCP** 

---
![](https://i.imgur.com/sbTtMDU.png)

---
1.14 Настроим защиту от **DHCP-snooping**

---
![](https://i.imgur.com/wYrGcap.png)

---
1.15 Настроим защиту от Настроим защиту от **DHCP-starvation**

---
![](https://i.imgur.com/p6n34SH.png)

---
## Часть 2. Атака VLAN hopping

2.1 Настроим сабинтерфейсы в **KALI-MITM**

`nano /etc/network/interfaces`

---
![](https://i.imgur.com/BSMoISb.png)

---
2.2 Слушаем **vlan 10**

---
![](https://i.imgur.com/luUbHVZ.png)

---
2.3 Слушаем **vlan 20**

---
![](https://i.imgur.com/hwYhVn1.png)

---
2.4 Настроим защиту от **VLAN-hopping**

---
![](https://i.imgur.com/c3P0uIL.png)

---
## Часть 3. Атака CAM-table overflow 

3.1 Данная атака переполняет таблицу коммутаторов. Установим необходимые утилиты и проведём атаку

`macof -i eth0`

---
![](https://i.imgur.com/T4wmRJ9.png)

---
3.2 В **Switch** видим, что таблица переполнена

---
![](https://i.imgur.com/FU7etY8.png)

---
3.3 В **Wireshark** видим большое количество **IPv4** запросов

---
![](https://i.imgur.com/OSAx69V.png)

---
3.4 Настроим защиту от **CAM-table overflow**

---
![](https://i.imgur.com/kQDO9gl.png)

---
3.5 Просмотрим таблицу **MAC-адресов** полсе атаки

---
![](https://i.imgur.com/1Xh6JZr.png)

---


## Часть 4. Атака MAC-spoofing

4.1 Добавим в топологию ещё одну **Linux** машину

---
![](https://i.imgur.com/rpumCp4.png)

---
4.2 Поменяем **MAC-адрес** **Kali-MITM** на тот, что присвоен **Linux**. Теперь у них одинаковые адреса, а значит трафик должен идти на **Kali**, так как **MAC-адрес** не привязан к интерфейсу. Просмотрим таблицу коммутации и убедимся в этом

---
![](https://i.imgur.com/cxoWuYV.png)

---
4.3 Настроим защиту от **MAC-spoofing**, привязав **MAC-адрес** к интерфейсу

---
![](https://i.imgur.com/alo2XAi.png)

---
## Часть 5.  Настройка ACL 

:::info
:information_source: **Access Control List** разрешает или запрещает передачу трафика
:::

5.1 Изменим топологию сети

---
![](https://i.imgur.com/6UNxNp8.png)

---
5.2 Настроим **VLAN**ы в **Switch**

---
![](https://i.imgur.com/RjvrwZq.png)

---
5.3 Настроим конфигурацию интерфейсов на **роутере**

---
![](https://i.imgur.com/l9LnC1I.png)

---
5.4 Настроим на **роутере** интерфейс *e0/1* для выхода в **интернет** 

---
![](https://i.imgur.com/NwUU8V0.png)

---
5.5 Настроим **NAT**

---
![](https://i.imgur.com/geugvAF.png)

---
5.6 Настроим сеть **Win7**

---
![](https://i.imgur.com/oFmg90Q.png)

---
5.7 Проверим выход в интернет

---
![](https://i.imgur.com/M5ryPwb.png)

---
5.8 Настроим сеть **Kali Linux**

---
![](https://i.imgur.com/Uk5GgeF.png)

---
5.9 Проверим выход в интернет

---
![](https://i.imgur.com/4S4roen.png)

---
5.10 Настроим сеть **Debian**

---
![](https://i.imgur.com/TX2DRn6.png)

---
5.11 Проверим выход в интернет и установим **nginx**

---
![](https://i.imgur.com/qRXBULO.png)

---
5.12 С **Win7** перейдём на адрес **Debian**

---
![](https://i.imgur.com/mfzSs6A.png)

---
5.13 Добавляем новый *Access Control List* для **Kali Linux**, чтобы у неё не было доступа к **Debian** по протоколу *HTTP*

---
![](https://i.imgur.com/pzgU9KW.png)

---
5.14 Проверим, что **Kali** не имеет доступ

---
![](https://i.imgur.com/lykFUAH.png)

---
5.15 Настроим *ACL* так, чтобы **Win7** имеел доступ только в интернет и **VLAN 1**

---
![](https://i.imgur.com/92lsXiW.png)

---
5.16 Проверяем доступы на **Win7**

---
![](https://i.imgur.com/gsc6NOy.png)

---
5.17 Настроим *ACL* так, чтобы **Debian** имеел доступ только в интернет

---
![](https://i.imgur.com/m3XXheY.png)

---
5.18 Проверяем доступы на **Debian**

---
![](https://i.imgur.com/stvGNTk.png)

---
5.19 Конфигурация *ACL* роутера

---
![](https://i.imgur.com/jlf69EA.png)

---