DHCP Snooping ile Ağ Güvenliği 5 Kritik Adım

Ağ güvenliği, günümüz dijital dünyasında hem bireyler hem de işletmeler için bir öncelik haline gelmiştir. DHCP Snooping, ağ güvenliğini artırmak için geliştirilmiş bir mekanizmadır. Siber saldırılar ve ağ üzerinden yapılan manipülasyonlar, kullanıcı verilerini ve altyapıları tehdit etmeye devam ediyor.

Neyse ki, DHCP Snooping ve Dynamic ARP Inspection (DAI) gibi teknolojiler, bu tehditlere karşı güçlü birer savunma mekanizması sunuyor.

DHCP (Dynamic Host Configuration Protocol) Nedir?

Ağdaki cihazların otomatik olarak IP adresi, ağ geçidi ve DNS bilgileri almasını sağlayan bir protokoldür. Bu sistem, manuel IP adresi atama sürecini ortadan kaldırarak büyük bir kolaylık sağlar. Ancak, bu kolaylık bazı riskleri de beraberinde getiriyor. Ağdaki bir saldırgan, sahte bir DHCP sunucusu kurarak cihazlara yanlış IP adresleri atayabilir.

DHCP Snooping Nedir?

DHCP Snooping, switch’ler üzerinde çalışan bir güvenlik özelliğidir. Amacı, ağda çalışan DHCP trafiğini izlemek, yetkisiz DHCP sunucularını engellemek ve istemcilerin yalnızca güvenilir(trusted) portlardan IP adresi almasını sağlamaktır. Temelde, istemcilerden gelen DHCP isteklerini dinler, doğrular ve IP-MAC eşleştirmelerini bir “Binding Table” içinde kaydeder.

DHCP Snooping’in Sağladığı Avantajlar

• DHCP trafiğini düzenler ve ağ yöneticisinin işini kolaylaştırır.
• Kötü niyetli DHCP sunucularından gelen yanıtları tespit eder ve engeller.
• IP ve MAC adres eşleştirmesi yapar.
• Aynı IP adresinin birden fazla cihaza atanmasını engeller.

DHCP Snooping Nasıl Çalışır?

DHCP Snooping, ağınızdaki portları güvenilir (trusted) ve güvenilmeyen (untrusted) olarak sınıflandırır.

Ayrıca, oluşturduğu binding tablosu sayesinde IP-MAC eşleştirmelerini kaydeder. Bu tablo, diğer güvenlik protokollerine destek sağlar ve ağdaki IP adresi sahteciliğini önler.

Cisco Switch’lerde DHCP Snooping Adımları

1- DHCP Snooping etkinleştirilirmesi

Switch(config)# ip dhcp snooping

Bu komut DHCP Snooping özelliğini tüm vlanlarda aktif hale getirir. DHCP Snooping devre dışı bırakılmak istenildiği zaman da komutu no ile yazmanız yeterlidir.

2- DHCP Snooping’in Çalışacağı Vlanların Belirlenmesi

Belirli vlanlarda DHCP Snooping aktif edilmek istenirse, ilgili vlanlar virgül ile eklenebilir veya çıkartılabilir

Switch(config)# ip dhcp snooping vlan 10,20,99,100
Switch(config)# no ip dhcp snooping vlan 99,100

3- Güvenilir (Trusted) Port

Güvenilir portlar belirlenir (Örneğin DHCP sunucusuna giden uplink portu)

Switch(config-if)# interface gigabitEthernet 1/0/1
Switch(config-if)# ip dhcp snooping trust

4- Güvenilmeyen (Untrusted) Port

Güvenilmeyen portların saniyede alabileceği DHCP paket sayısının ayarlanması (Cisco’nun önerdiği 100’den fazla olmaması)

Switch(config-if)# interface gigabitEthernet 1/0/2
Switch(config-if)# ip dhcp snooping limit rate 25

5-Binding Tablosu Oluşturma

IP-MAC eşleştirmelerinin tutulacağı tablonun yolunu ve ismini belirleme

Switch(config)# ip dhcp snooping database flash:DHCPSnooping.txt

IP-MAC eşleştirmelerinin tutulduğu tablonun içeriğini görme

Switch(config)# show ip dhcp snooping binding

Ağda bulunan statik ip adresli (Yazıcı, Access Point, Kamera vs.) cihazların DHCP Snooping tablosuna eklenmesi. Tabloya eklenirken Mac adresi, Vlan ID, Ip adresi ve Interface girilmesi gerekmektedir.

Switch(config)# ip source binding 0123.ABCD.6789 vlan 10 192.168.1.4 interface gigabitethernet1/0/1

Diğer Güvenlik Önlemleriyle Entegrasyonu

DHCP Snooping, diğer ağ güvenliği mekanizmalarıyla entegre çalışarak çok daha güçlü bir koruma sağlar.

Dynamic ARP Inspection (DAI)	ARP sahtekarlığını önlemek için DHCP Snooping’in oluşturduğu binding tablosunu kullanır.
IP Source Guard	Sadece doğru IP ve MAC adreslerinden gelen trafiğe izin verir.

Sonuç olarak, DHCP Snooping, ağınızdaki güvenliği artırmanın ve düzeni sağlamanın etkili bir yoludur. Özellikle sahte DHCP sunucularına karşı savunma sağlamak, IP çakışmalarını önlemek ve ağ yönetimini kolaylaştırmak için kritik bir mekanizmadır.

Cisco tarafından paylaşılan DHCP Snooping rehberine buradan ulaşabilirsiniz.

Eğer ağınızda DHCP kullanıyorsanız ve güvenliğinizden emin olmak istiyorsanız, DHCP Snooping’i mutlaka değerlendirmelisiniz. Unutmayın, güvenli bir ağ her zaman daha verimli çalışır ve sizi beklenmedik sorunlardan korur. Güvenli ve sorunsuz bir ağ için DHCP Snooping gibi çözümleri kullanmayı ihmal etmeyin!

Gelişmelerden haberdar olmak için bilgihouse.com ve sosyal medya kanallarımızı takip edebilirsiniz.

Faydalı olması dileğiyle.