Ağda izinsiz (rogue) bir DHCP sunucusu kullanıcılara yanlış IP dağıtıyor. Bunu nasıl tespit eder ve engellersiniz?

Kalıcı çözüm switch'lerde DHCP snooping açmaktır: DHCP sunucu mesajlarına (OFFER, ACK) sadece trusted olarak işaretlenmiş portlardan izin verilir.

Belirtiler ve tespit

• Kullanıcılar beklenmeyen bir IP aralığı, gateway veya DNS alıyor (genelde birinin getirdiği ev router'ı).
• İstemcide ipconfig /all ile DHCP Server adresine bakılır.
• Switch'te bu IP'nin MAC adresi bulunur ve porta kadar izlenir:

show ip arp 192.168.0.1                 ! veya istemciden MAC adresini al
show mac address-table address aabb.cc00.1122

Port bulunduktan sonra kapatılır ve cihaz fiziksel olarak sökülür.

DHCP snooping konfigürasyonu

ip dhcp snooping
ip dhcp snooping vlan 10,20
no ip dhcp snooping information option   ! option 82 relay ile sorun çıkarıyorsa
!
interface Gi1/0/48
 description UPLINK-TO-DHCP-SERVER
 ip dhcp snooping trust
!
interface range Gi1/0/1 - 46
 ip dhcp snooping limit rate 15           ! DHCP starvation'a karşı
!
show ip dhcp snooping
show ip dhcp snooping binding

Ek faydalar

• Snooping'in oluşturduğu binding tablosu (MAC, IP, VLAN, port) Dynamic ARP Inspection ve IP Source Guard tarafından kullanılır; ARP spoofing ve IP sahteciliği de engellenir.
• Rate limit, saldırganın binlerce sahte istekle DHCP havuzunu tüketmesini (DHCP starvation) önler.

Not: Trusted port'u yanlış ayarlamak (uplink'i trust etmeyi unutmak) tüm kullanıcıların IP alamamasına sebep olur; değişiklik bakım penceresinde yapılmalıdır.