DUGGA 2
Carries user-generated traffic (men inte voice eller management traffic)
Data VLAN
DR tar emot alla router uppdates (om någon router går ner osv) så att de inte broadcastas mellan alla andra routrar
Designated Router huvudsakliga funktion / uppgift
Used for routing between AS
Exterior Gateway Protocols (EGP)
1. Enable IPv6 Routing 2. Configure a DHCPv6 pool 3. Configure Pool params (dns-serverm domain-name) 4. configure DHCPv6 interface
Conf router as a stateless DHCPv6 server (4 steg)
SPF / Dijkstra's Algorithm
OSPF algorithm
Används för relay agents så att meddelanden kan routas mellan VLAN / subnät Adress till relay agent ?
gateway IP address (fält i DHCPv4 meddelande)
1. DHCPv6 SOLICIT 2. DHCPv6 ADVERTISE 3. DHCPv6 REQUEST 4. DHCPv6 REPLY
4 typer av meddelanden för stateful DHCPv6 processen i ordning
displays a list of all IPv4 address to MAC address bindings that have been provided by the DHCPv4 service
show ip dhcp binding
Visar hur många DHCPv4 meddelanden som har sänts och tagits emot av routern Används för att verifiera att DHCPv4 meddelanden sänds / tas emot av routern
show ip dhcp server statistics
stänger av en port om obehörig MAC-adress försöker connecta Default mode
shutdown (port security)
Blir bara en trunk om annan vill det
switchport mode Dynamic Auto
One trunk port is configured in a mode that is not compatible for trunking on the corresponding peer port This configuration error causes the trunk link to stop working
Trunk mode mismatches
Enables traffic from one VLAN to be seen by another VLAN
VLAN hopping
Manages trunk negotiations between ports (only if neighbor switch is configured in a trunk mode that supports DTP)
Vad gör DTP?
A metric is a measurable value that is assigned by the routing protocol to different routes based on the usefulness of that route.
Vad är ett metric?
all-nodes multicast address
Vad är speciellt med IPv6 adressen: FF02::1
all-routers multicast address
Vad är speciellt med IPv6 adressen: FF02::2
Only the router exit interface is specified
Vad är specifierat next-hop eller exit interface för Directly connected static IPv6 route
The next-hop IPv6 address and exit interface are specified
Vad är specifierat next-hop eller exit interface för Fully specified static IPv6 route
Only the next-hop IPv6 address is specified
Vad är specifierat next-hop eller exit interface för Next-hop static IPv6 route
För att låta andra eventuella DHCP servrar som har sänt ut DHCPOFFER veta att klienten inte vill ha deras DHCPOFFERs
Varför sänder klienter DHCPREQUESTS som broadcasts?
1. Verify ip helper-address is configured on correct interface show running-config kolla så att adressen går till DHCP servern 2. Verify 'no service dhcp' command hasn't been configured show running-config | include no service dhcp
Verify router DHCPv4 settings (2 steg)
Switch spoofing double tagging
Vilka 2 metoder kan användas för att utföra "VLAN hopping"?
1006-4094 (alla efter standard + assigned (1001-1005)
Vilka VLAN ID använder extended range VLAN?
The link-local address of the router interface that is attached to the network
Vilken adress kommer en klient att använda för default-gateway då SLAAC används?
Admin konfigurerar manuellt IPv4 adress till klienter och DHCP servern kommer inte att tilldela denna adress till någon annan host (och ser till att en redan tilldelad IPv4 adress inte kan tilldelas igen av admin)
DHCPv4 manuell adress allokering
Sänds från en stateless DHCPv6 klient begär konf parametrar som DNS server addr Klient generar egen network prefix från RA
DHCPv6 INFORMATION-REQUEST
Sänds från en statefull DHCPv6 klient begär hela ipv6 adress, och alla andra konf parametrar från servern
DHCPv6 REQUEST
224.0.0.6
DR och BDR multicast adress
Distance - Identifies how far it is to the destination network and is based on a metric such as the hop count, cost, bandwidth, delay, and more. Vector - Specifies the direction of the next-hop router or exit interface to reach the destination.
Distance Vector Routing Protocols - Beskriv vad Distance respektive Vector innebär
DUAL
EIGRP algorithm
Used for routing within an AS
Interior Gateway Protocols (IGP)
120
RIP adm. Distance
Alla VLAN
What VLANs are allowed across a trunk when the range of allowed VLANs is set to the default value?
RIPv1 och IGRP
classful routing protocols (2st)
Running-config
vart sparas Extended range VLANs?
servern tilldelar ip adress till klienten här (DHCPOFFER)
your ip address (fält i DHCPv4 meddelande)
Puts the interface into permanent nontrunking mode and neogtiates to convert the link into a nontrunk link
switchport mode access
1. Stateless Address Autoconfiguration (SLAAC) 2. Dynamic Host Configuration Protocol for IPv6 (Stateful DHCPv6)
2 ways to dynamically assign IPv6 global unicast addresses
1. Exkludera adresser 2. skapa en DHCP pool 3. Definera uppgifter (tasks) som DHCP server ska utföra (default-router och range för pool) 4. valfria tasks dns-server domain-name lease tid
3 steg för att skapa en basic DHCPv4 server
Makes the interface able to convert the link to a trunk link
switchport mode dynamic auto
Makes the interface actively attempt to convert the link to a trunk link
switchport mode dynamic desirable
In this situation, unexpected traffic or no traffic is being sent over the trunk.
Allowed VLANs on trunks
1. Klient sänder RS till FF02::2 2. Router(s) svarar med RA till FF02::1 3. Klienten skapar sitt network prefix från RA och sitt Interface ID (IID) mha EUI-64 processen eller slumpmässiggenerering 4. Klienten verifierar att adressen är unik genom att sända ett Neighbor solicitation meddelande med sin nya adress som target ipv6 address
Beskriv SLAAC processen
stänger av DTP (förhandlar om trunk ska skapas - tar tid)
switchport mode nonegotiate
Attackeraren låtsas vara en swtich genom att emulera 802.1q och DTP meddelanden vilket lurar switch2 att skapa en trunk. Switch2 har som default mode: dynamic auto vilket accepterar att bilda trunk automatiskt När en trunk skapas har har den tillgång till alla VLAN som default
Beskriv en "Basic switch spoofing" attack
1. Klient sänder RS meddelande till FF02::2 (all-routers multicast address) 2. Routers sänder ett RA meddelande till FF02::1 (all-nodes multicast address) innehållande prefix och prefix length 3. Klienten använder informationen från RA för att skapa sin egna IPv6 global unicast adress
Beskriv process för hur en klient får en IPv6 global unicast adress mha SLAAC
1. DHCPDISCOVER Klient söker efter DHCP server(s) 2. DHCPOFFER Servern erbjuder en adress 3. DHCPREQUEST den här adressen vill jag ha 4. DHCPACK Servern accepterar klientens val
Beskriv processen då en klient försöker få ett lease av en DHCP server (4 steg)
Manual Allocation Automatic Allocation Dynamic Allocation
DHCPv4 3 olika typer av adress allokering
DHCPv4 servern tilldelar en permanent (inget lease) statiskt IPv4 adress till klienten från en pool
DHCPv4 Automatic Allocation
DHCPv4 servern tilldelar dynamiskt en IPv4 adress till klienten för en begränsad tid (dvs lease) eller tills klienten inte behöver adressen längre Standard sätt att tilldela adresser
DHCPv4 Dynamic Allocation
1. Gå in på rätt interface 2. ipv6 enable 3. ipv6 address autoconfig
Conf router as a stateless DHCPv6 client (3 kommandon)
1. Gå in på rätt interface 2. ipv6 enable 3. ipv6 address dhcp
Configuring a Router as a Stateful DHCPv6 Client (3 kommandon)
1. Enable Ipv6 routing 2. confugre a DHCPv6 pool 3. conf pool params 4. conf dhcpv6 interface
Configuring a Router as a Stateful DHCPv6 Server (4 steg)
KAN användas av både klient och server innehåller parametrar och val (options) för DHCP funktioner (operations)
DHCP offer (fält i DHCPv4 meddelande)
Försöker skapa en trunk (om andra sidan trunk (?), dynamic auto, eller dynamic desirable
switchport mode trunk
Specifierar adressens längd
Hardware Address Length (fält i DHCPv4 meddelande)
Specifierar typ av hårdvara som används i nätverket 1 = Ethernet 15 = Frame Relay 20 = Serial Line
Hardware Type (fält i DHCPv4 meddelande)
Antal hops Sätts till 0 av klient vid sändning av ett DHCP request
Hops (fält i DHCPv4 meddelande)
Efter att en klient har skapat sin egna IPv6 global unicast adress så sänder den ut ett Neighbor Solicitation meddelande med sin nyligen skapta IPv6 global Unicast adress som target IPv6 adress. Om ett svar fås på NS meddelandet är adressen inte unik Om inget svar fås är adressen unik
Hur fungerar "Duplicate Address Detection (DAD)" processen
En DHCP relay agent installeras på varje subnät och tar emot DHCP broadcasts omvandlar till unicast meddelande skickar vidare till DHCP server(s) Source adressen i unicast meddelandet går till routerns interface där meddelandet togs emot (dvs till subnätet som broadcasten kom ifrån) så att DHCP servern kan tilldela en IP adress till rätt subnät
Hur fungerar DHCP Relay
Attackeraren gömmer en extra 802.1q tag inuti en frame och sänder till en switch De flesta switchar utför endast 1 802.1q de-encapsulation När framen kommer till nästa switch så har den fortfarande kvar extra tagen och kan på så sätt ta sig in på VLAN där den egentligen inte har tillgång
Hur fungerar en "Double-tagging attack"
Forwarding between protected ports and non-protected ports works as normally
Hur fungerar forwarding av trafik mellan protected port och nonprotected port?
A protected port does not forward any traffic to any other protected port (except control traffic)
Hur fungerar forwarding av trafik mellan protected ports?
share updates between neighbors
Hur fungerar updates för Distance Vector protocols
1. Gå in på interfacet som ska bli en DHCP klient 2. skriv: ip address dhcp
Hur konfigureras en router som en DHCP klient?
Klienten tar emot ett RA innehållande prefix och prefix length så att den kan skapa sitt enga 64 bitars network prefix Sedan skapar klienten sitt Interface ID (IID) mha EUI-64 processen eller slumpmässig generering av de 64 sista bitarna
Hur skapar en Klient sin egna Ipv6 global unicast adress mha DHCPv6 (Denna ser fel ut beskriver processen för SLAAC och kanske statless? men INTE DHCPv6 statefull)
The default automatic trunking configuration
In a basic VLAN hopping attack, which switch feature do attackers take advantage of?
Puts the interface into permanent trunking mode and negotiates to convert the neighboring link into a trunk link
switchport mode trunk
Prevents the interface from generating DTP frames
switchport nonegotiate
link-state information about a routers links
Link-State Packet (LSP) innehåll
1. Each router learns about its own links and its own directly connected networks 2. Each router is responsible for meeting its neighbors on directly connected networks. 3. Each router builds a Link-State Packet (LSP) containing the state of each directly connected link. 4. Each router floods the LSP to all neighbors. 5. Each router uses the database to construct a complete map of the topology and computes the best path to each destination network
Link-State Routing Process
create a complete view or topology of the network by gathering information from all of the other routers
Link-State Routing Protocols
M = 0 O = 0
M och O flagvärde för SLAAC
M = 1 (ALL info måste hämtas från en stateful DHCPv6 server) O används inte
M och O flagvärde för Statefull DHCPv6
M = 0 O = 1 (hämta mer info från annan ("(O)ther") stateless dhcpv6 server)
M och O flagvärde för Stateless DHCPv6
värde = 1 All addressing information and configuration information must be obtained from a stateful DHCPv6 server
Managed Address Configuration flag (M flag)
224.0.0.5
Multicast adress för ALLA OSPF routers
Trunk ports are configured with different native VLANs can cause inter-VLAN routing issues, among other problems This poses a security risk
Native VLAN mismatches
Specifierar typ av meddelande värde = 1 - Request meddelande värde = 2 - Reply meddelande
Operation Code (fält i DHCPv4 meddelande)
Värde = 1 Additional configuration information is available from a stateless DHCPv6 server
Other Configuration flag (O flag)
Om porten är begränsad till 1 MAC-adress och 1 till försöker koppla upp sig så ignoreras bara den andra (obehöriga)
Protect (port security)
1. Discovery of remote networks 2. Maintaining up-to-date routing information 3. Choosing the best path to destination networks 4. Ability to find a new best path if the current path is no longer available
Purpose of Dynamic Routing Protocols (4 saker)
Sänds periodiskt (default 200 sec) eller som svar på RA Innehåller prefix och prefix length så klient kan skapa sin egna global unicast IPv6 adress Sänds alltid till all-nodes multicast adressen FF02::1
Router Advertisement (RA) message
Sänds från klient till server för att automatiskt få en IPv6 global unicast adress mha SLAAC Sänds till all-routers multicast address FF02::2
Router Solicitation (RS) message
Stateless address autoconfiguration Använder ingen DHCPv6 server som håller reda på vilka adresser som används och delar ut adresser
SLAAC
Tid sedan klient började försöka förnya sitt lease eller få ett lease DHCP servers använder detta värde för att prioritera replies
Seconds (fält i DHCPv4 meddelande)
taking advantage of an incorrectly configured trunk port By default, trunk ports have access to all VLANs
Switch spoofing
Mathcar replies med requests för att hålla reda på olika konversationer
Transaction Identifier (fält i DHCPv4 meddelande)
1. Resolve address conflicts show ip dhcp conflict 2. Verify Physical connectivity show interfaces 'interface' 3. Test connectivity using a static IP address Om fortfarande problem inte fel på DHCP server 4. Verify switch port config Om en switch mellan klient och server 5. Test DHCPv4 operation on the same subnet or VLAN Problem med DHCP relay agent
Troubleshooting DHCPv4 (5 tasks)
tar emot otaggad trafik (ingen VLAN tag)
Vad för funktion har ett native VLAN
It can provide relay services for multiple UDP services
What is an advantage of configuring a Cisco router as a relay agent?
Dynamic Auto
What is the default DTP mode on Cisco 2960 and 3560 switches?
It is a SOHO or home broadband router. SOHO och hem routers får sina IPv4 adresser dynamiskt från ISP (statiska IPv4 adresser är möjligt men dyrare)
What is the most likely scenario in which the WAN interface of a router would be configured as a DHCP client to be assigned a dynamic IP address from an ISP?
Client hardware address
Which address does a DHCPv4 server target when sending a DHCPOFFER message to a client that makes an address request?
Ändra native VLAN till ett unikt ID (ej VLAN 1 eller VLAN med användare) Disable DTP autonegotiation on end-user ports
Which two Layer 2 security best practices would help prevent VLAN hopping attacks?
Kan användas av klient för att requesta en specifik boot fil i ett DHCPDISCOVER meddelande Används av servern i DHCPOFFER för att specifiera boot filens filnamn och directory (mapp)
boot filename (fält i DHCPv4 meddelande)
specifierar det fysiska lagret hos klienten
client hardware address (fält i DHCPv4 meddelande)
Reports IP address assignments and database updates as they happen.
debug ip dhcp server events
16 bitars värde men bara 1 bit används Används då klienten inte vet sin egna ip adress om bitens värde är 1 betyder det att servern ska svara på request med ett broadcast och inte ett unicast då klienten inte vet (har?) sin egna ip adress
flags (fält i DHCPv4 meddelande)
255
max hops EIGRP
15
max hops RIP
servern berättar för klienten vilken server som ska användas för nästa steg i bootstrap processen (kan vara en annan server)
server ip address (fält i DHCPv4 meddelande)
serverns namn (text nickname eller DNS domän namn) används då servern sänder DHCPOFFER eller DHCPACK
server name (fält i DHCPv4 meddelande)
1. During initial startup of the routing protocol process on that router (e.g., router restart) 2. Whenever there is a change in the topology
när behöver en router sända ut sitt LSP?
ensures that there is no exchange of unicast, broadcast, or multicast traffic between certain ports on the switch Protected ports must be configured manually
protected ports (PVLAN edge)
Som protect + ger felmeddelande
restrict (port security)
Försöker alltid bli en trunk
switchport mode Dynamic Desirable