Configuração do IP Source Guard em Switches empilháveis série Sx500

Objetivo

O IP Source Guard é um recurso de segurança que pode ser usado para evitar ataques de tráfego causados quando um host tenta usar o endereço IP de um host vizinho. Quando o IP Source Guard está ativado, o switch transmite somente o tráfego IP do cliente para endereços IP contidos no banco de dados de vínculo de rastreamento de DHCP. Se o pacote enviado por um host corresponder a uma entrada no banco de dados, o switch encaminhará o pacote. Se o pacote não corresponder a uma entrada no banco de dados, ele será descartado.

Em um cenário em tempo real, uma maneira na qual o IP Source Guard é usado é ajudar a evitar ataques de intermediários em que um terceiro não confiável tenta se mascarar como um usuário genuíno. Com base nos endereços configurados no banco de dados de vinculação do protetor de origem de IP, somente o tráfego do cliente com esse endereço IP é permitido e o restante dos pacotes é descartado.

Observação: o rastreamento de DHCP deve ser ativado para que o IP Source Guard funcione. Para obter mais detalhes sobre como habilitar o DHCP Snooping, consulte o artigo DHCP Snooping Configuration on SX500 Series Stackable Switches. Também é necessário configurar o banco de dados de associação para especificar quais endereços IP são permitidos. Mais detalhes sobre isso podem ser encontrados no artigo Configuration of DHCP Snooping Binding Database on SX500 Series Stackable Switches.

Este artigo explica como configurar o IP Source Guard nos Switches empilháveis Sx500 Series.

Dispositivos aplicáveis

Switches Empilháveis Sx500 Series

Versão de software

•v1.2.7.76

Configurar o IP Source Guard

Ativar globalmente as configurações do IP Source Guard

Etapa 1. Faça login no utilitário de configuração da Web e escolha Security > IP Source Guard > Properties. A página Propriedades do Protetor de Origem IP é aberta:

Etapa 2. Marque a caixa de seleção Habilitar para habilitar o IP Source Guard globalmente.

Etapa 3. Clique em Apply para aplicar as configurações.

Editar configurações de interface do IP Source Guard

Se o IP Source Guard estiver habilitado em uma porta não confiável ou LAG, os pacotes DHCP transmitidos serão permitidos pelo DHCP Snooping Database. Se o endereço IP estiver habilitado com um filtro, a transmissão de pacotes será permitida da seguinte forma:

Tráfego IPv4 — O tráfego IPv4 associado ao endereço IP origem da porta específica é permitido.

Tráfego não IPv4 — Todo o tráfego não IPv4 é permitido.

Etapa 1. Faça login no utilitário de configuração da Web e escolha Security > IP Source Guard > Interface Settings. A página Configurações da interface é aberta:

Etapa 2. Escolha um tipo de interface na lista suspensa Tipo de interface e clique em Ir no campo Filtro.

A Tabela de configurações de interface consiste nos seguintes parâmetros.

Interface — Mostra a Interface à qual o IP Source Guard é aplicado.

Proteção de origem de IP — Mostra se o IP Source Guard está habilitado ou não. 

DHCP Snooping Trusted Interface — Mostra se é uma interface confiável DHCP ou não. As interfaces confiáveis podem receber tráfego somente de dentro da rede.  O IP Source Guard geralmente é configurado em interfaces DHCP que não são confiáveis. Uma interface não confiável é uma interface configurada de modo que possa receber mensagens de fora da rede.

Etapa 3. Clique no botão de opção correspondente à interface a ser editada e clique em Editar na parte inferior da página. A janela Editar configurações de interface é exibida.

Etapa 4. Marque Enable no campo IP Source Guard para ativar o IP Source Guard na interface atual.

Etapa 5. Clique em Apply. As alterações são exibidas.

Copiar configurações de interface para o IP Source Guard

Etapa 1. Faça login no utilitário de configuração da Web e escolha Security > IP Source Guard > Interface Settings. A página Configurações da interface é aberta:

Etapa 2. Clique no botão de opção da interface desejada e clique em Copiar configurações. A janela Copiar configurações é exibida.

Etapa 3. Digite a(s) interface(s) ou intervalo(s) de interfaces às quais a entrada escolhida precisa ser copiada e clique em Apply. As configurações são aplicadas.