NAS / Gateway beschermen op LAN Party.

[Verwijderd]

Hallo Medetweakers,

Ik moet over een paar maanden een LAN party hosten voor 250 deelnemers. Nu ben ik in charge over de IT infrastructuur en ik zit met een paar vragen waar ik geen duidelijk antwoord bij kan krijgen.

De topology is simpel: Router <-> Coreswitch <-> LAG (2x 1Gbit) Access switches (10x).

1: Rogue DHCP servers. Word afgevangen met DHCP snooping/guarding. Enkel de router mag DHCP requests beantwoorden.
2: DNS. Draait lokaal, router verzorgt caching en assisteert met local address mapping naar servers (http://lanpartynaam.lan).
3: D.m.v. filtering (firewall/QoS) zorg ik ervoor dat de max internet snelheid gecapt is op 25mbit per device, torrent e.d. worden geblokkeerd).

Tot zover heb ik het volgens mij aardig op de rit. Nu wil ik niet zeggen dat ik een doemdenker ben maar ik hou graag rekening met alle scenarios. Een scenario dat open staat is bijvoorbeeld een bezoeker die (bewust of onbewust) een statische IP configureerd dat hetzelfde is als bijvoorbeeld onze NAS.
Wat heeft dit voor gevolgen? Er ontstaat een IP conflict, dat weet ik maar hoe reageert het netwerk (lees: andere pc's) hierop. Zijn zowel de NAS als de PC die het IP heeft ingesteld niet te bereiken of heeft het apparaat dat het IP als eerste had het 'recht' om dit te mogen gebruiken?

En hoe zit het als iemand sabotage zou willen plegen en zijn PC hetzelfde IP adres geeft als de router (default gateway), ik vermoed dat zo het hele internet onbereikbaar word voor een ieder. Het netwerk zelf zal blijven lopen daar dit L2 is en op MAC basis gaat.

Met andere woorden; Wat kan ik verwachten en kan ik mijzelf hiertegen beschermen?

Ik heb er bijvoorbeeld aan gedacht de NAS in een ander subnet en VLAN te zetten. De router zal d.m.v. interVLAN routing ervoor zorgen dat het verkeer op de juiste plaats komt. Als iemand dit NAS IP (static) zou instellen dan gebeurd er niets, want elke pc stuurt het traffic standaard richting de default gateway voor alle verkeer buiten het eigen subnet. Een nadeel is dat alle traffic tussen de 2 VLANs dan direct via de router moet, dit betekend dat de maximale doorvoersnelheid gelimiteerd word tot 1Gbit (max snelheid interface router).

En de gateway dan? Hoe stel ik deze "veilig"?

[ Voor 3% gewijzigd door Verwijderd op 18-10-2018 01:22 . Reden: spelfoutjes ]

[Vorkie]

Elke switch eigen vlan geven met eigen ip reeks voor de cliënts, management vlan inrichten en dat alles op de coreswitch. De is dan ook de default gateway.

Op de coreswitch een transit vlan aanmaken en dat is de 0.0.0.0 route, de rest van de vlans zijn verbonden met de coreswitch dus doen niets met de Router.

10x250 systemen is al 250 ip adressen. Dan de gateway, 251 en dan hou je nog maar 3 adresjes over?

[Verwijderd]

Als elke switch in een eigen VLAN komt te zitten dan zal dit waarschijnlijk het lokaal opzetten van servers (in-game search) tegenwerken daar dit vaak via broadcast werkt, het broadcast domein stopt dan bij de default gateway (vlan address / interface) op de switch.

Je theorie lijkt aardig te kloppen, maar je verschuift dan het probleem naar onderen, dan is de router veilig maar als iemand als IP het adres van de default gateway (op de switch) zou nemen dan heeft iedereen op die switch weer een probleem, toch? gelukkig is het dan gelimiteerd tot één switch en niet het hele netwerk.

In de tussentijd heb ik ook van iemand als tip gekregen om naar DAI (Dynamic Arp Inspection) te kijken, waarmee je op switch niveau insteld dat een static IP niet toegestaan is, alles moet dan via DHCP worden uitgedeeld. Alle packets vanaf een static IP worden discarded, tenminste, dan is de theorie. Heb je hier ervaring mee?

PS: 250 system in een /23.

[Ascension]

Wat je zoekt heet bij Cisco IP Source guard.

Similar to DHCP snooping, this feature is enabled on a DHCP snooping untrusted Layer 2 port. Initially, all IP traffic on the port is blocked except for DHCP packets that are captured by the DHCP snooping process. When a client receives a valid IP address from the DHCP server, or when a static IP source binding is configured by the user, a per-port and VLAN Access Control List (PVACL) is installed on the port. This process restricts the client IP traffic to those source IP addresses configured in the binding; any IP traffic with a source IP address other than that in the IP source binding will be filtered out. This filtering limits a host's ability to attack the network by claiming a neighbor host's IP address.

[Frogmen]

Tja dat kan, maar is dat niet net zo iets als als ajax fan in een feyenoord gaan zitten. Het kan maar of het verstandig is is heel iets anders. Doe al heel wat jaren lanpartys wel kleiner maar zelfs met kinderen nooit problemen in deze richting gehad. Zeker zolang je een compleet afwijkende ip subnet gebruikt is het risico klein. Als je 192.168.1.1/24 gebruikt kan je erop wachten. Het is dus meer het risico van per ongeluk nog ingesteld vast ip adres wat problemen geeft. Iemand die de boel wil platgooien zet wel een DHCP server aan of zo.

[Dronium]

Je kunt de scheiding natuurlijk wat specifieker maken:
- Een vlan voor alle party-gangers
- Een vlan voor je NAS, router, DNS/DHCP server en switch management.

[Barreljan]

Dronium schreef op zaterdag 18 augustus 2018 @ 20:02:
Je kunt de scheiding natuurlijk wat specifieker maken:
- Een vlan voor alle party-gangers
- Een vlan voor je NAS, router, DNS/DHCP server en switch management.

dan kan je toch nog steeds het IP van de router 'claimen' als gamer? van vlan1 naar vlan2 gaat normaal via een L3 device en die kan je dus nog steeds als client inpikken (duplicate arp)

Een wild idee?
L3-switches plaatsen in 1 vlan, subnet /23 (dus 255.255.253.0) en dan elke switch een IP toekennen in dat subnet (die je ook voor mgmt gebruikt) en dan static arp's meegeven voor je NAS/DHCP etc zodat je op elke switch een vast aantal arp (ip/mac) entries hebt? Dan kan de client/gamer wel prima een IP adres instellen static van je router of NAS maar veel verder komt-ie niet. ((Desnoods geef je ieder segment zijn eigen gateway (de switch zelf) en per switch een default route naar de router (hoewel dat een gedoe is met dhcp)))
Geen idee of dat kan, ik ken de uitrusting van de TS niet (wellicht zijn het enkel unmanaged L2 switches).

[The Eagle]

Die NAS is heel simpel: zet het ding gewoon uit en pas weer aan als je gasten opgekrast zijn. Genruik desnoods een externe USB disk voor je data opslag. Die paar TB kun je vermoedelijk best wel even missen.

En wat er gebeurt als iemand een identiek adres als de router gebruikt? Dan krijgt ie de rest op zijn nek.

Zou me er niet te druk om maken en gewoon een paar algemene regels opstellen dat je bij misbruik de deur uitgetrapt wordt. Niet meer en niet minder. Je kunt alles technisch afregelen, maar dat moet je ook weer ongedaan maken. In dit geval heiligt het doel de middelen niet en kun je beter gewoon goede afspraken maken en voor de rest iedereen eigen risico laten lopen.

[Frogmen]

Helemaal eens met @The Eagle zeker op een lan-party voordat je het weet denk jij het dichtgetimmerd te hebben maar heb je een nieuwe uitdaging gecreeerd, voordat je het weet is er toch eentje slimmer. Juist door het simpel te houden neemt een ieder zijn verantwoordelijkheid.

[Verwijderd]

Dag Allemaal,

Ik denk ik reageer nog eens en geef even een update.

Ondertussen is het gelukt om een test netwerk op te zetten waarbij ik gebruik maak van rogue DHCP detectie op switch level in combinatie met DAI. Dit betekend dat alleen mijn router/dhcp server een DHCP lease mag beantwoorden, dit is uitvoerig getest en werkt uitstekend.

DAI (Dynamic Arp Inspection) zorgt ervoor dat niemand handmatig een IP adres mag instellen behalve het IP dat via DHCP word toegewezen. Doe je dit toch? dan ziet de switch dat het gebruikte IP niet bij bij de computer hoort en blokkeert deze alle traffic richting de switch.

Bedankt voor jullie input guys :-)

[Chocola]

Verwijderd schreef op donderdag 18 oktober 2018 @ 01:21:
Dag Allemaal,

Ik denk ik reageer nog eens en geef even een update.

Ondertussen is het gelukt om een test netwerk op te zetten waarbij ik gebruik maak van rogue DHCP detectie op switch level in combinatie met DAI. Dit betekend dat alleen mijn router/dhcp server een DHCP lease mag beantwoorden, dit is uitvoerig getest en werkt uitstekend.

DAI (Dynamic Arp Inspection) zorgt ervoor dat niemand handmatig een IP adres mag instellen behalve het IP dat via DHCP word toegewezen. Doe je dit toch? dan ziet de switch dat het gebruikte IP niet bij bij de computer hoort en blokkeert deze alle traffic richting de switch.

Bedankt voor jullie input guys :-)

Beetje laat, maar ik zie het nu pas. Een paar weken geleden deed ik ook de infra voor een LAN-party en ik had het anders opgelost. De NAS en hypervisors/servers kregen een IP-adres via static ARP entries op basis van MAC filtering van de router. Daarnaast had ik nog een notifier (via Telegram) ingesteld voor het geval iemand het toch voor elkaar kreeg om een gereserveerd IP-adres te claimen.

In theorie kan iemand waarschijnlijk het MAC-adres faken, maar als iemand er zoveel moeite voor zou doen om de NAS op de LAN-party voor een paar minuten stil te leggen dan is dat prima, die krijgt gewoon een kick + perma ban voor alle toekomstige evenementen .

De reden dat ik dit trouwens in de router wilde regelen is dat ik de switches liever zo dom mogelijk hou. Ik hou niet zo van VLANs met eigen subnetten (broadcasting/vinden van games gaat dan niet meer goed). Dus het non-managementgedeelte van de core switch was doodsimpel geconfigureerd: 10 Gb/s linkjes (fiber) naar de NAS en servers en een 1 Gb/s link (koper) naar elke client.

Good luck met verder testen en bouwen, en happy gaming .

[ChaserBoZ_]

Verwijderd schreef op donderdag 18 oktober 2018 @ 01:21:
Dag Allemaal,

Ik denk ik reageer nog eens en geef even een update.

Ondertussen is het gelukt om een test netwerk op te zetten waarbij ik gebruik maak van rogue DHCP detectie op switch level in combinatie met DAI. Dit betekend dat alleen mijn router/dhcp server een DHCP lease mag beantwoorden, dit is uitvoerig getest en werkt uitstekend.

DAI (Dynamic Arp Inspection) zorgt ervoor dat niemand handmatig een IP adres mag instellen behalve het IP dat via DHCP word toegewezen. Doe je dit toch? dan ziet de switch dat het gebruikte IP niet bij bij de computer hoort en blokkeert deze alle traffic richting de switch.

Bedankt voor jullie input guys :-)

Nice, dat in combinatie met een max aantal MAC adressen op een poort om te voorkomen dat ze eigen switches aansluiten etc, en dan niet vergeten automatische error-disabled recovery te doen , vlan hopping voorkomen, cdp uit zetten etc etc

Deze is interessant & leuk; https://www.slideshare.ne...ayer-2-attacks-mitigation

[ Voor 5% gewijzigd door ChaserBoZ_ op 24-10-2018 15:58 . Reden: Slideshare linkje toegevoegd ]