Tweet
1. Giới thiệu
IP Source Guard hay thường gọi là IPSG, là 1 tính năng bảo mật lớp 2 để ngăn chặn các cuộc tấn công giả mạo địa chỉ IP, hoặc là cả địa chỉ IP và MAC. Các bạn có thể xem trong mô hình này
Giả sử trong mạng của chúng ta có máy tính A, được cấp phát địa chỉ IP hợp lệ 10.0.0.2 và địa chỉ MAC 54-05-DB-F8-7C-DE thông qua DHCP Server. Đây là hai thông tin xác thực giúp định danh thiết bị này trong hệ thống mạng. Tuy nhiên có 1 máy tính khác của hacker cũng đặt địa chỉ IP này với MAC là DC-4A-3E-62-07-AC, nhằm giả mạo máy tính A để đánh cắp thông tin.
Trong thực tế hệ thống mạng chúng ta sẽ gặp rất nhiều trường hợp tương tự.
Giả sử bạn có một VLAN và trên firewall chỉ cho phép một số địa chỉ IP nhất định được truy cập internet, nhưng không kiểm tra địa chỉ MAC. Trong trường hợp này, một số người có thể cố tình cấu hình trùng địa chỉ IP được phép truy cập để đăng nhập vào mạng khi các thiết bị hợp lệ đang offline.
Hoặc một tình huống phổ biến khác: trong mạng của bạn có một số server sử dụng địa chỉ IP tĩnh. Các server này thường bật firewall để bảo vệ nên mặc định sẽ chặn các gói tin ICMP (ping). Nếu ai đó cần đặt một IP tĩnh cho thiết bị của họ, họ có thể ping thử đến IP của server. Do firewall chặn ping nên không nhận được phản hồi, họ nghĩ IP đó chưa được sử dụng và gán nó cho thiết bị của mình. Kết quả là mạng của bạn sẽ có hai thiết bị cùng dùng một IP, dẫn đến hiện tượng xung đột IP và làm gián đoạn kết nối đến server.
Khi xảy ra trùng IP, switch sẽ lưu địa chỉ MAC của thiết bị nào gửi gói tin gần nhất, nên tất cả lưu lượng đến IP đó sẽ được chuyển đến thiết bị này. Điều này rất nguy hiểm vì có thể làm gián đoạn các dịch vụ quan trọng nếu một thiết bị cố tình hoặc vô tình sử dụng địa chỉ IP đã được cấp phát. Tình trạng này càng nghiêm trọng hơn nếu IP tĩnh của server chưa được loại khỏi DHCP pool — khi server offline, DHCP vẫn có thể cấp IP này cho thiết bị khác.
Với những rủi ro như vậy, IP Source Guard (IPSG) là một giải pháp đơn giản nhưng cực kỳ hiệu quả để ngăn chặn tình trạng giả mạo và xung đột IP trong mạng.
Về cách cấu hình chi tiết, mời bạn xem qua tài liệu: CƠ CHẾ HOẠT ĐỘNG CỦA IP SOURCE GUARD (IPSG)_Version3.pdf
✍️Ngự Bình - phòng kỹ thuật