Configurazione IP Source Guard sugli switch serie Sx500 impilabili

Obiettivo

IP Source Guard è una funzione di sicurezza che può essere utilizzata per prevenire gli attacchi al traffico causati quando un host tenta di utilizzare l'indirizzo IP di un host adiacente. Quando IP Source Guard è abilitato, lo switch trasmette il traffico IP dei client solo agli indirizzi IP contenuti nel database DHCP Snooping Binding. Se il pacchetto inviato da un host corrisponde a una voce del database, lo switch inoltra il pacchetto. Se il pacchetto non corrisponde a una voce del database, viene scartato.

In uno scenario in tempo reale, uno dei modi in cui viene utilizzato IP Source Guard è quello di contribuire a prevenire attacchi man-in-the-middle in cui una terza parte non attendibile tenta di mascherarsi come utente autentico. In base agli indirizzi configurati nel database di binding di IP Source Guard, viene consentito solo il traffico proveniente dal client con tale indirizzo IP e gli altri pacchetti vengono scartati.

Nota: lo snooping DHCP deve essere abilitato affinché IP Source Guard funzioni. Per ulteriori informazioni su come abilitare lo snooping DHCP, consultare l'articolo Configurazione dello snooping DHCP sugli switch impilabili serie SX500. È inoltre necessario configurare il database di binding per specificare gli indirizzi IP consentiti. Per ulteriori informazioni, consultare l'articolo Configurazione del database DHCP Snooping Binding sugli switch impilabili serie SX500.

Questo articolo spiega come configurare IP Source Guard sugli switch serie Sx500 Stackable.

Dispositivi interessati

· Switch Stack Serie Sx500

Versione del software

· v1.2.7.76

Configurare le impostazioni di Protezione origine IP

Abilita globalmente le impostazioni di Protezione origine IP

Passaggio 1. Accedere all'utility di configurazione Web e scegliere Sicurezza > Protezione origine IP > Proprietà. Viene visualizzata la pagina Proprietà di IP Source Guard:

Passaggio 2. Selezionare la casella di controllo Abilita per abilitare IP Source Guard a livello globale.

Passaggio 3. Fare clic su Applica per applicare le impostazioni.

Modifica impostazioni interfaccia per Protezione origine IP

Se la protezione origine IP è abilitata su una porta non attendibile o su un LAG, i pacchetti DHCP trasmessi sono consentiti dal database di snooping DHCP. Se l'indirizzo IP è abilitato con un filtro, la trasmissione del pacchetto è consentita come segue:

· Traffico IPv4: è consentito il traffico IPv4 associato all'indirizzo IP di origine della porta in questione.

· Traffico non IPv4: tutto il traffico non IPv4 è consentito.

Passaggio 1. Accedere all'utility di configurazione Web e scegliere Sicurezza > Protezione origine IP > Impostazioni interfaccia. Viene visualizzata la pagina Impostazioni interfaccia:

Passaggio 2. Scegliere un tipo di interfaccia dall'elenco a discesa Tipo di interfaccia e fare clic su Vai nel campo Filtro.

La tabella Impostazioni interfaccia (Interface Settings) è costituita dai seguenti parametri.

· Interfaccia: visualizza l'interfaccia a cui viene applicato IP Source Guard.

· IP Source Guard: visualizza se IP Source Guard è abilitato o meno. 

· DHCP Snooping Trusted Interface: visualizza se si tratta o meno di un'interfaccia DHCP trusted. Le interfacce trusted possono ricevere traffico solo dall'interno della rete.  IP Source Guard è in genere configurato su interfacce DHCP non attendibili. Un'interfaccia non attendibile è un'interfaccia configurata in modo da poter ricevere messaggi dall'esterno della rete.

Passaggio 3. Fare clic sul pulsante di opzione corrispondente all'interfaccia da modificare e fare clic su Modifica nella parte inferiore della pagina. Viene visualizzata la finestra Modifica impostazioni interfaccia.

Passaggio 4. Selezionare Enable nel campo IP Source Guard per abilitare IP Source Guard sull'interfaccia corrente.

Passaggio 5. Fare clic su Applica. Le modifiche vengono visualizzate.

Copia impostazioni interfaccia per Protezione origine IP

Passaggio 1. Accedere all'utility di configurazione Web e scegliere Sicurezza > Protezione origine IP > Impostazioni interfaccia. Viene visualizzata la pagina Impostazioni interfaccia:

Passaggio 2. Fare clic sul pulsante di opzione dell'interfaccia desiderata e fare clic su Copia impostazioni. Viene visualizzata la finestra Copia impostazioni.

Passaggio 3. Inserire le interfacce o gli intervalli di interfacce su cui copiare la voce scelta e fare clic su Applica. Le impostazioni vengono applicate.