IP Source Guard là gì? Cách triển khai IP Source Guard (IPSG)

Trong thời đại công nghệ thông tin phát triển nhanh chóng, bảo mật mạng trở thành một vấn đề quan trọng hơn bao giờ hết. Các cuộc tấn công mạng như giả mạo địa chỉ IP và MAC đã trở thành một mối đe dọa lớn đối với sự an toàn của thông tin và hoạt động của mạng. Để đối phó với những mối đe dọa này, IP Source Guard (IPSG) đã được phát triển như một giải pháp bảo mật lớp 2 hiệu quả. IPSG hoạt động bằng cách kiểm tra và xác thực địa chỉ IP và MAC của các gói dữ liệu, ngăn chặn các cuộc tấn công giả mạo và đảm bảo tính toàn vẹn của lưu lượng truy cập trong mạng. Cùng Digitech JSC tìm hiểu chi tiết IPSG là gì? IP Source Guard là gì? Ứng dụng nổi bật của IPSG

IP Source Guard là gì?

IP Source Guard (IPSG) là một tính năng bảo mật lớp 2 được sử dụng trên các thiết bị mạng, đặc biệt là trên các switch, để ngăn chặn các cuộc tấn công giả mạo địa chỉ IP và MAC. Tính năng này hoạt động bằng cách chỉ cho phép lưu lượng IP traffic khớp với địa chỉ IP và MAC đã được xác định trước trên mỗi cổng giao tiếp. Điều này giúp ngăn chặn các cuộc tấn công như ARP Spoofing và IP Spoofing, cũng như các cuộc tấn công hijacking khác.

IPSG thường được cấu hình trên các cổng không đáng tin cậy (untrusted ports) để đảm bảo rằng chỉ những địa chỉ IP được cấp phát bởi DHCP hoặc được cấu hình tĩnh một cách hợp lệ mới có thể gửi lưu lượng truy cập qua mạng. Điều này giúp tăng cường bảo mật mạng bằng cách ngăn chặn các kẻ tấn công sử dụng địa chỉ IP giả mạo để thực hiện các cuộc tấn công như DoS (Denial of Service) hoặc DDoS (Distributed Denial of Service).

Cách hoạt động của IP Source Guard (IPSG)

IPSG là một tính năng bảo mật lớp 2 được sử dụng để ngăn chặn các cuộc tấn công giả mạo địa chỉ IP và MAC. Nó hoạt động dựa trên hai phương thức chính: DHCP Snooping Binding và Static Binding.

DHCP Snooping Binding

• Cấu hình DHCP Snooping: Trước khi sử dụng IPSG, cần phải cấu hình DHCP Snooping trên switch. Điều này tạo ra một bảng DHCP Snooping Binding chứa thông tin về địa chỉ IP, MAC, VLAN và cổng kết nối của các client.
• Hoạt động của IPSG: Khi IPSG được bật, nó sẽ chỉ cho phép lưu lượng IP traffic từ các client có thông tin trong bảng DHCP Snooping Binding. Các client không có trong bảng này sẽ bị từ chối truy cập.

Static Binding

• Cấu hình Static Binding: Trong trường hợp các server được cấu hình IP tĩnh, IPSG có thể được cấu hình để chỉ cho phép IP đó hoạt động trên một cổng cụ thể. Điều này giúp ngăn chặn việc đặt trùng IP của server.
• Hoạt động của IPSG với Static Binding: Khi cấu hình static binding, IPSG sẽ kiểm tra địa chỉ IP và MAC của lưu lượng truy cập và chỉ cho phép lưu lượng từ các client có thông tin được cấu hình tĩnh.

Chế độ lọc

• Chế độ lọc IP và MAC: IPSG có thể được cấu hình để lọc dựa trên địa chỉ IP, MAC hoặc cả hai. Điều này giúp tăng cường bảo mật bằng cách chỉ cho phép lưu lượng truy cập từ các nguồn hợp lệ.

Kiểm tra hoạt động

• Lệnh kiểm tra: Để kiểm tra hoạt động của IPSG, có thể sử dụng lệnh show ip verify source trên switch.

IPSG hoạt động bằng cách kiểm tra tính hợp lệ của lưu lượng IP traffic dựa trên thông tin từ DHCP Snooping hoặc cấu hình tĩnh, giúp ngăn chặn các cuộc tấn công giả mạo địa chỉ IP và MAC.

Cách triển khai IP Source Guard (IPSG)

Triển khai IP Source Guard (IPSG) trên mạng được thực hiện qua các bước sau:

1. Cấu hình DHCP Snooping

• Bước 1: Kích hoạt DHCP Snooping trên switch để tạo bảng DHCP Snooping Binding. Điều này giúp theo dõi và lưu trữ thông tin về địa chỉ IP và MAC của các client nhận IP từ DHCP.

  bash

  SW1(config)# ip dhcp snooping
SW1(config)# ip dhcp snooping vlan 1


• Bước 2: Xác định các cổng đáng tin cậy (trusted ports) và không đáng tin cậy (untrusted ports). Các cổng kết nối đến DHCP server thường được coi là đáng tin cậy.

  bash

  SW1(config)# interface fa0/11
SW1(config-if)# ip dhcp snooping trust


2. Cấu hình IP Source Guard

• Bước 3: Kích hoạt IPSG trên các cổng không đáng tin cậy để chỉ cho phép lưu lượng IP traffic khớp với thông tin trong bảng DHCP Snooping Binding hoặc các entry tĩnh.

  bash

  SW1(config)# interface fa0/24
SW1(config-if)# ip verify source


• Bước 4: Nếu cần, cấu hình static binding cho các server có IP tĩnh để chỉ cho phép IP đó hoạt động trên một cổng cụ thể.

  bash

  SW1(config)# ip source binding <MAC> vlan <VLAN> <IP> interface <Interface>


3. Kiểm tra hoạt động

• Bước 5: Sử dụng lệnh show ip verify source để kiểm tra trạng thái và thông tin về các cổng đã kích hoạt IPSG.

4. Cấu hình bổ sung

• Bước 6: Có thể kết hợp IPSG với Port Security để tăng cường bảo mật bằng cách giới hạn số lượng MAC address được phép trên một cổng.

Lưu ý:

• IPSG chỉ hoạt động trên các cổng lớp 2 (Layer 2) và không hỗ trợ trên các cổng lớp 3 (Layer 3) hoặc SVI (Switch Virtual Interface)
• Cần đảm bảo rằng DHCP Snooping đã được cấu hình trước khi triển khai IPSG

Ứng dụng của IP Source Guard (IPSG)

IPSG là một tính năng bảo mật lớp 2 được sử dụng để ngăn chặn các cuộc tấn công giả mạo địa chỉ IP và MAC. Dưới đây là một số ứng dụng tiêu biểu của IPSG:

Ngăn chặn tấn công giả mạo IP và MAC:

IPSG giúp ngăn chặn các cuộc tấn công bằng cách chỉ cho phép lưu lượng IP traffic từ các địa chỉ IP và MAC đã được xác định trước trong bảng DHCP Snooping hoặc thông qua cấu hình tĩnh.

Bảo vệ mạng khỏi các cuộc tấn công DoS/DDoS:

Bằng cách ngăn chặn lưu lượng truy cập từ các địa chỉ IP giả mạo, IPSG giúp giảm thiểu rủi ro từ các cuộc tấn công DoS/DDoS, vốn thường sử dụng địa chỉ IP giả để gây quá tải cho hệ thống mạng.

Đảm bảo tính toàn vẹn của lưu lượng truy cập:

IPSG đảm bảo rằng chỉ những lưu lượng truy cập hợp lệ mới được phép đi qua mạng, giúp ngăn chặn các cuộc tấn công dựa trên việc giả mạo địa chỉ IP và MAC.

Cấm đặt tĩnh IP vào mạng:

IPSG có thể được cấu hình để chỉ cho phép các IP nhận được từ DHCP, giúp ngăn chặn việc đặt tĩnh IP vào mạng mà không được phép.

Tăng cường bảo mật cho các server có IP tĩnh:

Thông qua cấu hình static binding, IPSG có thể đảm bảo rằng chỉ những IP tĩnh được phép mới có thể hoạt động trên một cổng cụ thể, giúp ngăn chặn việc đặt trùng IP của server.

Tóm lại, IPSG là một công cụ quan trọng trong việc tăng cường bảo mật mạng bằng cách ngăn chặn các cuộc tấn công giả mạo địa chỉ IP và MAC, đồng thời đảm bảo tính toàn vẹn của lưu lượng truy cập trong mạng.