Andere DHCP server in LAN blokkeren *

[Boushh]

Het volgende is het geval:

Wij hebben een Klant, die heeft ongeveer 500 tot 800 werkstations. Zij krijgen hun IP adres via een Windows DHCP Server. Om alle werkstations van een IP adres te voorzien wordt gebruik gemaakt van een B klasse netwerk. Van dat B klasse netwerk zijn ongeveer 5 * 256 adressen gereserveerd voor DHCP leases, en 256 adressen voor reservaties.

Het is een open netwerk. De ongeveer 70 switches (3Com 3300's die per 4 gestacked zijn) zijn verdeeld over 5 lokaties in het pand. Inprincipe heeft elk even outlet een netwerk aansluiting. Er wordt dus niet gepatched. Er zijn echter wel heel veel wijzigingen (= verhuizingen).

Omdat het een open netwerk (1 groot VLAN) is kan iedereen die binnen komt met een PC (of iets dat een RJ45 netwerk aansluiting heeft) die in het netwerk prikken, die krijgt dan een DHCP adres en kan aan de slag.

Nu is het probleem dat het wel eens voorkomt dat iemand iets in het netwerk prikt dat al een IP adres heeft en een active DHCP Server. Het komt dan voor de Clients een IP adres van dit nieuwe apparaat krijgt ipv de Windows DHCP Server.

Ik heb al diverse oplossing aangedragen , maar die zijn te duur of te arbeidsintensief of beide.

Voorstellen als het opdelen in kleinere netwerken, VLAN's, statische MAC adressen op de switch poorten e.d. hebben inmiddels al de revue gepasseerd.

Dus vroeg ik mij af het mogelijk is een Windows 2000 DHCP Client te vertellen dat hij alleen IP adressen mag accepteren die zich in een bepaalde IP range bevinden, of een request dat vanaf een bepaalde IP of MAC adres is verzonden. Dit omdat de DHCP Service in de registry diverse opties heeft, maar ik heb op het internet niet kunnen achterhalen wat die opties inhouden, en of een van die opties zou doen wat ik graag wil.

[Koffie]

Move PNS > NT plus titel edit
Voor zover ik weet is dat niet mogelijk, puur vanwege het feit *hoe* het DHCP protocol werkt.
En of je nu 8 of 800 clients hebt, dit mogelijke probleem blijf je altijd houden.

[TrailBlazer]

is offtopic maar kan je die klant niet beter adviseren de security van zijn netwerk op orde te krijgen. Een netwerk van die omvang waar je gewoon een dhcp server op kan prikken

[Koffie]

Wat heeft dat met security te maken
Houd mij maar eens tegen als ik een DHCP server erin wil prikken, enige waar je dit uberhaupt tegen zou kunnen houden is op een manageable switch, welke dit zou kunnen (geen flauw benul of dit bestaat).

[TrailBlazer]

je bent al een stuk verder als je gewoon op elke poort een vast mac adres toestaat. Ja ik weet dat je je mac adres kan wijzigen
Overigens er moet gewoon een awareness zijn bij alle gebruikers dat je niet zomaar van alles in het netwerk mag pluggen. Als je niet weet of het kwaad kan dan doe je het dus niet. Het lijkt erop dat dat zeker ontbreekt. Deze laptop mag erop want die heb ik (systeembeheer) geconfigureerd. Sluit je iets aan wat niet mag dan kan je sancties verwachten. Klint hard alleen onderzoeken wijzen uit dat de meeste security incidenten social engineering zijn. Kijk naar Paris Hilton

security houdt niet op bijde hardwarae en de configuratie

[ Voor 5% gewijzigd door TrailBlazer op 01-03-2005 21:58 ]

[Verwijderd]

Als hij nu gewoon wat investeerd in zijn eigen DHCP-servers en per locatie (5 dus) een eigen subnet maakt, valt op het moment dat er een "vreemde" DHCP-server op het net komt maar 1 subnet uit. Als ik die 70 stacks deel door 5, kan je nog lekkere kleinere subnets maken en dan kan de rest van al zijn werknemers gewoon doorwerken, terwijl de beeheerders zich de pl**ris gaan zoeken waar dat "kreng zit"

edit:

en als hij dan een extra subnet maakt waar zijn eigen netwerkapparatuur zit valt die al helemaal niet meer uit

[ Voor 17% gewijzigd door Verwijderd op 01-03-2005 21:59 ]

[Gomez12]

TrailBlazer schreef op dinsdag 01 maart 2005 @ 21:47:
is offtopic maar kan je die klant niet beter adviseren de security van zijn netwerk op orde te krijgen. Een netwerk van die omvang waar je gewoon een dhcp server op kan prikken

Een laptop met een of andere linux live-cd die er per ongeluk in is blijven zitten en waarvan geboot wordt wil ook nog wel eens leuk als dhcp server gaan dienen.

Aangezien er de hele tijd gezegd wordt dat het een open netwerk is neem ik aan dat de klant het open wil hebben dus doe je hier weinig tegen.

Enige kortstondige en niet nette oplossing die ik zo snel kan bedenken is gooi een ids systeem op een monitor port op elke switch ( kan een simpele linux bak met snort zijn ) en als er een onbekend dhcp reply voorbijkomt gelijk de switch poort die het veroorzaakte afsluiten. Je mist dan alleen de eerste client die een dhcp request doet. Is relatief goedkoop. Werkt alleen niet als je iets in de trant van telnet / ssh sessies nodig hebt.

[TrailBlazer]

Gomez12 schreef op dinsdag 01 maart 2005 @ 21:58:
[...]
Een laptop met een of andere linux live-cd die er per ongeluk in is blijven zitten en waarvan geboot wordt wil ook nog wel eens leuk als dhcp server gaan dienen.

zie mijn 2e post. Je ziet toch dat dat ding aan het booten is. Systeembeheer zou dat ding niet eens vanaf cd moeten laten booten bij default. Lekker uitzetten in de bios als je meot booten van CD ff wachtwoord van bios halen

Gomez12 schreef op dinsdag 01 maart 2005 @ 21:58:
[...]


Enige kortstondige en niet nette oplossing die ik zo snel kan bedenken is gooi een ids systeem op een monitor port op elke switch ( kan een simpele linux bak met snort zijn ) en als er een onbekend dhcp reply voorbijkomt gelijk de switch poort die het veroorzaakte afsluiten. Je mist dan alleen de eerste client die een dhcp request doet. Is relatief goedkoop. Werkt alleen niet als je iets in de trant van telnet / ssh sessies nodig hebt.

Ik denk niet dat het monitoren van het verkeer van 500-800 werkplekken te doen is

Verwijderd schreef op dinsdag 01 maart 2005 @ 21:58:
Als hij nu gewoon wat investeerd in zijn eigen DHCP-servers en per locatie (5 dus) een eigen subnet maakt, valt op het moment dat er een "vreemde" DHCP-server op het net komt maar 1 subnet uit. Als ik die 70 stacks deel door 5, kan je nog lekkere kleinere subnets maken en dan kan de rest van al zijn werknemers gewoon doorwerken, terwijl de beeheerders zich de pl**ris gaan zoeken waar dat "kreng zit"

en wie betaalt de routers ???.

[ Voor 59% gewijzigd door TrailBlazer op 01-03-2005 22:03 ]

[Rolfie]

zie mijn 2e post. Je ziet toch dat dat ding aan het booten is. Systeembeheer zou dat ding niet eens vanaf cd moeten laten booten bij default. Lekker uitzetten in de bios als je meot booten van CD ff wachtwoord van bios halen

Hmmm dit in een groot netwerk? Waar iedere "machine" een DHCP server kan worden. Dan zie je het toch niet 123.

Heb je toevallig nog een core switch staan, waar je stacks op aangesloten zijn. Hier kan je meestal nog wel wat extra dingen op regelen, oa ACL en het 1 en ander met vlans

[ Voor 22% gewijzigd door Rolfie op 01-03-2005 22:20 ]

[StevenK]

Je zou op alle clients IP filtering aan kunnen zetten en dan zo configureren dat 'ie bootp/dhcp pakketten alleen van de dhcp servers accepteert. Hou er wel rekening dat bootp zowel UDP als TCP doet.

[Gomez12]

TrailBlazer schreef op dinsdag 01 maart 2005 @ 21:59:
[...]

zie mijn 2e post. Je ziet toch dat dat ding aan het booten is. Systeembeheer zou dat ding niet eens vanaf cd moeten laten booten bij default. Lekker uitzetten in de bios als je meot booten van CD ff wachtwoord van bios halen

800 werkstations en een open netwerk.Klinkt mij niet echt in de oren als een netwerk waar systeembeheer elke laptop / pc /pda / etc door sysbeheer geinstalleerd en voorzien van een bios wachtwoord wordt gedaan ( klinkt mij meer als school ofzo in de oren )

[...]

Ik denk niet dat het monitoren van het verkeer van 500-800 werkplekken te doen is

Het gaat ook niet om het netwerk verkeer van 500-800 werkplekken, 70 switches gestacked per 4. Dus 18 ids'en ( ongeveer ) die alles kunnen negeren behalve dhcp traffic, moet toch redelijk goedkoop te doen zijn. ( goedkoop = hier de prijs tegenover werkverlies / ongemak van 500-800 gebruikers, niet gewoon 100 euro ). Omdat je maar 2 rules hoeft te hebben , 1e laat alle dhcp verkeer van 10.0.0.1 door en 2e rule schakelt de switchpoort uit van elk macadres wat dhcp reply's geeft. Kan het een simpel systeem zijn. Gooi er nog even een log-server tegenaan waar alle ids'en op loggen als rule 2 overtreden wordt en ik denk dat je voor 5000 euro klaar bent.

[TrailBlazer]

Rolfie schreef op dinsdag 01 maart 2005 @ 22:17:
[...]


Hmmm dit in een groot netwerk? Waar iedere "machine" een DHCP server kan worden. Dan zie je het toch niet 123.

Heb je toevallig nog een core switch staan, waar je stacks op aangesloten zijn. Hier kan je meestal nog wel wat extra dingen op regelen, oa ACL en het 1 en ander met vlans

ik bedoel degene van wie dat ding is

[Verwijderd]

Koffie schreef op dinsdag 01 maart 2005 @ 21:49:
Wat heeft dat met security te maken
Houd mij maar eens tegen als ik een DHCP server erin wil prikken, enige waar je dit uberhaupt tegen zou kunnen houden is op een manageable switch, welke dit zou kunnen (geen flauw benul of dit bestaat).

Hetgeen je bedoelt bestaat, en is bij moderne switches vaak aanwezig. (in mijn eigen cisco 2950 i.i.g. wel)

Het heet dhcp snooping. Hiermee laat de switch in de dhcp pakketten kijken, en kan dus bepalen of het om een client of een server gaat. Vervolgens kun je de poort als server of client definieren. Dit houd in dat foute dhcp pakketten gefilterd worden.

http://www.thtech.net/article/10

[Verwijderd]

Inderdaad serieus probleem. Op mijn werk gebeurde het laatst ook.
Ik heb geen idee in hoeverre je dit zou kunnen regelen met een managed switch ?