---
# System prepended metadata

title: Гришанов Матвей Сергеевич – Network Basic Практическая работа 5. Безопасность локальной сети

---

# Гришанов Матвей Сергеевич – Network Basic Практическая работа 5. Безопасность локальной сети

[toc]

## Практическая работа 5
### 1) Настройка инфраструктуры в соответствии со схемой сети.

1.1 Создаём схему сети.

![](https://i.imgur.com/d7nMZK5.png)

---

1.2 Настраиваем сеть на машине KALI-MITM.

:::info
:information_source: Используемые команды:

```
auto eth0
iface eth0 inet manual

auto eth1
iface eth1 inet manual

auto br0
iface br0 inet dhcp
        bridge_ports eth0 eth1
```
:::

![](https://i.imgur.com/Bxqo9ia.png)

---

1.3 Делаем trunk на Switch, а также создаём vlan'ы.

![](https://i.imgur.com/FYjADlw.png)

![](https://i.imgur.com/GfgeATj.png)

---

1.4 Настраиваем Firewall. Прописываем для новых интерфейсов em1.10 и em1.20 IP-адреса.

![](https://i.imgur.com/msvy4Y4.png)

![](https://i.imgur.com/mGHjglf.png)

---

1.5 Создаем правила для пропуска трафика в самом Firewall с помощью его web-версии.

![](https://i.imgur.com/fsjMYDL.png)

![](https://i.imgur.com/eDeuJFg.png)

---

1.6 Проверяем доступность интернета на машинах, подключенных к Switch'у.

![](https://i.imgur.com/XK74tgh.png)

![](https://i.imgur.com/2HF7VPU.png)

---

1.7 Выдаём адреса интерфейсам машины Linux, соединной со Switch'ом.

:::info
:information_source: Используемые команды:
```
dhclient etho

dhclient eth1
```
:::

![](https://i.imgur.com/V6pbYJO.png)

1.8 Появились роуты.

![](https://i.imgur.com/akukL47.png)

---

### 2) Атака Arp Spoofing

2.1 Проводим атаку Arp Spoofing на машину Linux.

:::info
:information_source: Используемые команды:
```
arpspoof -i eth0 -t 192.168.10.10 -r 192.168.10.254
```
:::

![](https://i.imgur.com/VN9jEle.png)

---

2.2 Wireshark фиксирует большое количество ARP трафика.

![](https://i.imgur.com/PVW7sLb.png)

---

### 2) Защита от Arp Spoofing

2.3 Защита от Arp Spoofing осуществляется на Switch'е. Прописывается специальная Arp испекция.

:::info
:information_source: Используемые команды:
```
Switch(config)#int e0/1
Switch(config-if)#arp inspection limit rate 100
Switch(config-if)#ip arp inspection trust
Switch(config-arp-nacl)#permit ip host 192.168.10.10 mac host 5000.0002.0000
Switch(config-arp-nacl)#permit ip host 192.168.10.10 mac host 5000.0005.0001
Switch(config)#ip arp inspection vlan 10
```
:::

Аналогичные команды используются и на других интерфейсах.

---

### 3) Атака на DHCP

3.1 Отправляем DISCOVER пакеты с помощью yersinia.

![](https://i.imgur.com/10a6EXD.png)

---

3.2 В DHCP Leases файрволла не фиксируется проводимая атака.

![](https://i.imgur.com/5O63N5z.png)

---

3.3 Wireshark видит вредоносный трафик.

![](https://i.imgur.com/Y9QgUTG.png)

---

### 4) DHCP Starvation

4.1 Проводим атаку DHCP Starvation.

:::info
:information_source: Используемые команды:
```
python3 starvit.py -i eth0 -net 192.168.10.0/24 -start 1 -end 254 -dst_mac 50:00:00:05:00:01
```
:::

![](https://i.imgur.com/TpZejFn.png)

---

4.2 Wireshark фиксирует вредоносный трафик.

![](https://i.imgur.com/YfumQ2s.png)

---

4.3 В Firewall заполнились все адреса из промежутка DHCP, которые не были зарезервированы за машинами.

![](https://i.imgur.com/gfYu14C.png)

![](https://i.imgur.com/YVTWuWw.png)

---

### 5) Защита от DHCP атак.

Защита от атак **DHCP** на **Switch**. Благодаря этой мере защиты на подключенных к **Switch** машинах невозможно провести атаку из вне, так как максимальное количество запросов - 15.

:::info
:information_source: Используемые команды:
```
Switch(config)#int e0/1
Switch(config-if)#dhcp snooping limit rate 15
Switch(config)#ip dhcp snooping trust
```
:::


### 5) Защита от атак типа DHCP Starvation и DHCP Rogue.


:::info
:information_source: Используемые команды:
```
Switch(config)#int e0/1
Switch(config-if)#switchport port-security maximum 5
Switch(config)#ip dhcp snooping trust
```
:::

![](https://i.imgur.com/qs6UweI.png)

---

### 6) VLAN hopping

6.1 Прописываем **bridge** на **KALI-MITM**. 

![](https://i.imgur.com/THbz3zN.png)

--- 

6.2 В **Wireshark** фиксируется захват трафика с машин в **vlan10** и **vlan20**.

![](https://i.imgur.com/ApVY5t4.png)

![](https://i.imgur.com/awG9cfd.png)

---

### 7) Защита от VLAN hopping

7.1 Самым действенным методом защиты является прописыванием на свитче `switchport nonegotiate`.

---

### 8) Атака CAM-table overflow

8.1 Атака фиксируется в **Wireshark**.

:::info
:information_source: Используемые команды для старта атаки:
```
macof -eth0
```
:::

![](https://i.imgur.com/bncvjOg.png)

---

8.2 На свитче начинается переполнение MAC адресов.

![](https://i.imgur.com/4KirtO2.png)

---

### 9) Защита от CAM-table overflow

9.1 Эффективной мерой защиты является установление лимита мак адресов на порт.

:::info
:information_source: Используемые команды:
```
Switch(config)#int e0/1
Switch(config-if)#switchport port-security maximum 5
Switch(config)#ip dhcp snooping trust
```
:::

![](https://i.imgur.com/d8ICwdP.png)

---

### 10) Атака MAC Spoofing

10.1 Топология дополняется двуми машинами атакующей и жертвой.

![](https://i.imgur.com/ymcdi2Q.png)

---

10.2 Машины получают разные MAC-адреса на свитче.

![](https://i.imgur.com/eO91J6N.png)

---

10.3 На машине атаки прописывается MAC-адрес машины жертвы.

![](https://i.imgur.com/euALdds.png)

---

10.4 MAC-адрес машины жертвы пропадает, а атакующая машина получает ее адрес.

![](https://i.imgur.com/HpqRQf0.png)

---

### 11) Защита от MAC Spoofing

11.1 Используем наиболее эффективные методы защиты.

:::info
:information_source: Используемые команды:
```
Switch(config)#int e1/1
Switch(config-if)#switchport mode access
Switch(config-if)#switchport port-security mac-address 0050.0000.0700
```
:::

![](https://i.imgur.com/CmQNp2b.png)

11.2 После интерфейс **e1/1** вернул себе свой адрес.

![](https://i.imgur.com/Jj4ho5S.png)

---

### 12) Настройка ACL -- конфигурирование оборудование

Используемая схема.

![](https://i.imgur.com/zYp9ebY.png)

12.1 Прописываем пермиты и настраиваем **NAT** на **Router**. 

![](https://i.imgur.com/8S1qKq5.png)

---

12.2 Прописываем интерфейсы на **Router**. 

![](https://i.imgur.com/uuuAFGQ.png)

---

12.3 Настраиваем интерфейсы на **Switch**.

![](https://i.imgur.com/Oone4pF.png)

---

12.4 Прописываем **IP** на **Windows 7** и проверяем возможность выхода в интернет.

![](https://i.imgur.com/P4VlbX0.png)

---

12.5 Прописываем **IP** на **Kali-Linux** и проверяем возможность выхода в интернет.

![](https://i.imgur.com/TqXkJmq.png)

---

12.6 Прописываем **IP** на **Debian** и проверяем пинг ==**8.8.8.8**==.

![](https://i.imgur.com/JcSnkmP.png)

---

12.7 Устанавливаем **Nginx** на **Debian-10** и пытаемся подключиться к нему с **Windows 7**.

:::info
:information_source: Для установки используется команда:
```
apt update -y && apt install nginx -y
```
:::

![](https://i.imgur.com/YN0rOii.png)

---

12.8 Конфигурация **Access-list**.

![](https://i.imgur.com/kMRtJXj.png)

---

12.9 Конфигурация интерфейсов.

![](https://i.imgur.com/xXbN1S0.png)

---
Таблица задания:
![](https://i.imgur.com/B798NMx.png)


12.10 **Kali-Linux** имеет доступ к интернету, **vlan20** и **vlan30**. Исключением является порт **80** для **vlan30**, с которым соединения нет.

![](https://i.imgur.com/W3mu8k9.png)

---

12.11 **Windows 7** имеет доступ к **vlan10** и **Internet**. Однако доступ к **vlan30** ограничен.

![](https://i.imgur.com/MPBpRQq.png)

---

12.12 **Debian** имеет доступ только в интернет.

![](https://i.imgur.com/NfDuoMc.png)

---

