---
# System prepended metadata

title: Network_Basic-Малышев_Роман-Практика-5

---

# Network_Basic-Малышев_Роман-Практика-5
*Выполнил Малышев Роман*.
### Задание:
1) Провести атаку на DHCP. На коммутаторе настроить защиту от Rogue DHCP Server и от DHCP starvation.
2) Провести атаку VLAN hopping. На коммутаторе настроить защиту от данного типа атаки (либо предложить рекомендацию).
3) Провести атаку CAM-table overflow. На коммутаторе настроить защиту от CAM-table overflow.
4) Провести атаку MAC-spoofing. Настроить защиту от атаки MAC-spoofing, используя Port Security
5)  Настроить ACL:
    - KALI имеет доступ куда угодно, кроме debian машинки по протоколу HTTPж;
    - Win-7 машинка имеет доступ только в интернет и в VLAN-1;
    - Debian машинка имеет доступ только в интернет.
6) В отчете необходимо отразить скрин атаки, а также конфигурацию устройства (либо часть конфигурации устройства) - которое было настроено для защиты от атак. Дополнительно в отчете отразить конфигурацию роутера при настройке ACL.

## Настройка сети
Поднастроим сеть, которая была в практике 4. 
На комутаторе интерфейс eth0/0 будет транковый, интерфейсы eth1/0 и eth0/2 access с соотвествующими VLANами.
![](https://i.imgur.com/0RwBWE0.png)
![](https://i.imgur.com/WcFuB28.png)
Настроим firewall. 
![](https://i.imgur.com/KzL3WJL.png)
![](https://i.imgur.com/Ab4fgiJ.png)
![](https://i.imgur.com/IUgyuRb.png)
![](https://i.imgur.com/zynauc1.png)
![](https://i.imgur.com/Z1oa9xb.png)
![](https://i.imgur.com/nr3rvEo.png)
![](https://i.imgur.com/Fl3z6vP.png)
![](https://i.imgur.com/GeHk1QX.png)
Зайдем с Kali-MITM на firewall через браузер и переимеуем интерфейсы.![](https://i.imgur.com/3LIj5vp.png)
Разрешим на интерфейсах VLAN_10 и VLAN_20 любой трафик. ![](https://i.imgur.com/uJteHUx.png)
Проверим на компах, что получили адреса, которые прописали. 
![](https://i.imgur.com/SARzgIk.png)
![](https://i.imgur.com/kQp6l9z.png)
Установим на Kali-MITM yersinia, python3, dsniff. 
Поднастроим switch, а имено на интерфейсы eth0/1 и eth0/3 пропишем VLANы. 
![](https://i.imgur.com/1EDAVH4.png)
Проверим, что Kali Linux получила соответствующие ip адреса.

## Атака arp-spoofing.
Проведем атаку с Kali Linux. 
На Kali Linux включим мершутизацию.![](https://i.imgur.com/v7E2mhH.png)
![](https://i.imgur.com/mldEaj6.png)
arp таблицы до атаки.
![](https://i.imgur.com/82B1Fec.png)
![](https://i.imgur.com/l93AYMA.png)
![](https://i.imgur.com/U1lWcNj.png)
Запустим атаку.
![](https://i.imgur.com/hRMsdGx.png)
Таблица во время атаки (firewall и win7).
![](https://i.imgur.com/XKELIhh.png)
![](https://i.imgur.com/b9wJeyk.png)
Как видим, если win7 обращается к firewall, теперь этот трафик идет через Kali Linux.

### Защита от arp-spoofing.
Настроим на свитче Dynamic Arp inspection. То есть дадим ограничение на количество пакетов, которые должны проходить  через не доверенный интерфейс, настроим доверенный интерфейс и настроим списки доступа. 
 ![](https://i.imgur.com/XN0eBcp.png)
 ![](https://i.imgur.com/zQyNjkW.png)
![](https://i.imgur.com/xSHixIt.png)
Как видим mac адрес в arp таблице не поменялся. 
![](https://i.imgur.com/YvpLD2o.png)
И в свиче вылетают ошибки.
![](https://i.imgur.com/qFZ5wFM.png)
Но при этом на Win 7 нет связи с файерволом.![](https://i.imgur.com/7asnA0u.png)

## Атака DHCP-spoofing. 
Запустим на Kali Linux Yersinia.
![](https://i.imgur.com/IyPShjC.png)
Запустим Wireshark на интерфейсе e1 у Firewall![](https://i.imgur.com/T2AeGJI.png)
Видим, что пока что там нет DHCP запросов. 
![](https://i.imgur.com/y70LbPZ.png)
Запустим атаку на Kali Linux, нужно ввести mac адрес атакуемого DHCP сервера. 
![](https://i.imgur.com/hoXZZCX.png)
Видим, что прилетело огромное количество DHCP запросов.
![](https://i.imgur.com/jNZE1Sn.png)

### Защита от DHCP-snooping.
Сделаем аналогичные настройки как у Arp inspection с той разницей, что для dhcp snooping. 
![](https://i.imgur.com/wwS6uzU.png)
![](https://i.imgur.com/477YNHh.png)
![](https://i.imgur.com/A2NdwOW.png)
Ещё нужно не забыть включить защиту от dhcp snooping командой: `ip dhcp snooping`.
Проведем теперь ещё раз атаку. И видим что пришло не большое количество пакетов, то есть можно сказать, что сработала защита (ограничение стояло 15). 
![](https://i.imgur.com/MWyLyen.png)

### Атака DHCP starvator
Проведем атаку DHCP starvator.Но перед эти установим для дальшнейшей подмены DHCP server на Kali Linux.
![](https://i.imgur.com/OmFIeD0.png)
Теперь приступимк атаке DHCP starvator. Я хочу заполнить пул адресов VLAN10 и VLAN20 на настоящем DHCP сервере.
Установим на Kali Linux pyDHCPStarvator (я просто раньше уже установил pyDHCPStarvator, поэтому время другое).
![](https://i.imgur.com/JD96bkI.png)
Отключим защиту от dhcp snooping командой: `no ip dhcp snooping`.
Запустим атаку.
![](https://i.imgur.com/N2CSTha.png)
Видим что полетели DHCP запросы.
![](https://i.imgur.com/CMgRlP6.png)
Увидим что пул на VLAN10 заполнился. 
![](https://i.imgur.com/mCf8XM1.png)
А теперь включим защиту от dhcp snooping. И убедимся что на VLAN20 не будет заполнен пул адресов.
Запустим атаку. 
![](https://i.imgur.com/RYpZ3FM.png)
Посмотрим что в DHCP Leases ничего не добавилось.
![](https://i.imgur.com/PibtaIi.png)
Отключим защиту опять и запустим атаку.  
![](https://i.imgur.com/WunYxbM.png)
Видим, что заполнился пул адресов VLAN20.
![](https://i.imgur.com/sb8yJVv.png)
### Подмена DHCP server
Я перполнял пул адресов VLAN10 и VLAN20 для того, чтобы не мог настоящий DHCP сервер раздавать IP адреса. 
Продолжим теперь настройку DHCP сервера на  Kali Linux. 
![](https://i.imgur.com/YXf74C3.png)
![](https://i.imgur.com/cFFQ00e.png)
Попробуем теперь перзапустить win7 и видим, что он получил наш адрес от подменного DHCP сервера.
![](https://i.imgur.com/4tQmab2.png)
## Атака CAM-table overflow
Скачаем утилиту macof.py и установим.
![](https://i.imgur.com/eumSKHU.png)
Посмотрим на таблицу на свитче. 
![](https://i.imgur.com/BuvxmwV.png)
Запустим атаку.
![](https://i.imgur.com/QLtU6Sd.png)
Посмотри теперь на таблицу на свитче, видим что появилось куча новых mac адресов. ![](https://i.imgur.com/GMQ8QO1.png)
### Защита от CAM-table overflow. 
Влючим Port Security на свитче на интерфейсе eth0/1.
![](https://i.imgur.com/een1jhx.png)
![](https://i.imgur.com/9YFqjP3.png)
Запустим атаку ещё раз. Видим, что сработала защита.
![](https://i.imgur.com/3alqS58.png)
И порт выключился.
Настроим Port Security restrict.
![](https://i.imgur.com/JkWlqw6.png). Но тут надо было ещё влючить порт. 
Все отработало. ![](https://i.imgur.com/Xdgv9Gi.png)
## Атака VLAN hoping
Внедрим злоумышленика LinuxEve1.
![](https://i.imgur.com/MqzNZqW.png)
На LinuxEve1 установим yersinia.
![](https://i.imgur.com/BmnNCMo.png)
Проведем атаку на протокол DTP, чтобы порты у свитча перевести в режим транк. 
![](https://i.imgur.com/MnfhbSF.png)
Результат:
![](https://i.imgur.com/SAOXyAO.png)
Получим на интерфейсе eth0 ip адрес. 
![](https://i.imgur.com/voiSzMG.png)
Мы уже внедрились в сеть. Теперь узнаем какие есть VLANы. Можно было запустить nmap 192.168.0.0 -e eth0, тогда бы увидели что у нас две сети. 
![](https://i.imgur.com/Ce3mQ5i.png)
Предположим, что это VLAN10 и  VLAN20. 
![](https://i.imgur.com/QvCeaFN.png)
Подготовим интерфейсы Kali.
![](https://i.imgur.com/Gv9yvyL.png)
Получим на них ip адреса.
![](https://i.imgur.com/xPgOLmZ.png)
Все в сеть внедрились. 
![](https://i.imgur.com/Adefp5R.png)
### Рекомендации по защите от VLAN hopping
Чтобы защититься от подобных атак, нужно принять следующие меры:
- Убедитесь, что порты не настроены на автоматическую работу в режиме транка. Отключите протокол DTP при помощи команды `switchport nonegotiate`.
- Не использовать стандартный VLAN1, а взять какой-нибудь другой.
- Использовать специальный VLAN ID для всех транковых портов.
- настроить Port Security, каждому интерфейсу свой mac address.
- и самое банальное не дать злоумышленику физического доступа к комутационному шкафчику. 
## Атака MAC-spoofing.
Посмотрим какой mac адерс на хакертской машине.
![](https://i.imgur.com/eLLzp55.png)
Поменяем mac адрес на интерфейсе eth0.
![](https://i.imgur.com/1YECFVT.png)
Пинги до firewallа проходят
![](https://i.imgur.com/DdgzYIM.png).

### Защита от атаки MAC-spoofing
Настроим защиту от атаки MAC-spoofing, используя Port Security. И увидим, что теперь пинги до до firewallа не проходят.
![](https://i.imgur.com/fLHzF8K.png)
Вернем на Kali Linux прежний mac адрес. И пинги проходят.
![](https://i.imgur.com/Ee7Zgg6.png)
 
 ## Настроим ACL:
- KALI имеет доступ куда угодно, кроме debian машинки по протоколу HTTP;
- Win-7 машинка имеет доступ только в интернет и в VLAN-1;
- Debian машинка имеет доступ только в интернет.
Проверим, что Kali Linux имеет доступ к Debian по протоколу HTTP. Но перед этим на Debian нужно установить nginx.
![](https://i.imgur.com/RG7xf75.png)
Настроим правила для Kali Linux.
![](https://i.imgur.com/emmUzz7.png)
![](https://i.imgur.com/jejTfoZ.png)
И видим что Kali Linux не имеет доступ к Debian по протоколу HTTP.
![](https://i.imgur.com/OLjJS87.png)
На win7.
![](https://i.imgur.com/mbU1gUs.png)
Имеет доступ к интернету.
![](https://i.imgur.com/1rmV9Rr.png)
На Debian.
![](https://i.imgur.com/zC6GsIp.png)
