Yerel Ağda Rogue DHCP ve ARP Zehirlenmesi (Man-in-the-Middle) Saldırılarını Engelleme: DHCP Snooping ve DAI

Şirkette bir pazartesi sabahı bazı kullanıcılar "İnternete çıkamıyoruz, IP adresimiz 192.168.1.x olmuş!" diye aramaya başladı. Şirketinizin gerçek ağı 10.10.30.0/24 iken kullanıcıların 192.168.1.x almasının sebebi nedir? Bir personelin evinden getirdiği TP-Link modemi ofisteki ağ prizine takması (Rogue DHCP Server). Daha da kötüsü, kötü niyetli bir saldırganın ağdaki tüm trafiği kendi bilgisayarı üzerinden geçirmesini sağlayan ARP Poisoning (Ortadaki Adam - MitM) saldırısıdır. Çözüm: DHCP Snooping ve Dynamic ARP Inspection (DAI).

1. DHCP Snooping ile Güvenli ve Güvensiz Port Ayrımı

DHCP Snooping mantığı basittir: Switch üzerindeki portlar ikiye ayrılır:

• Trusted (Güvenilir) Port: Yalnızca gerçek şirket DHCP sunucusunun veya omurga switch'in bağlı olduğu uplink portlarıdır. Yalnızca bu portlardan DHCP Offer/ACK paketleri gelebilir.
• Untrusted (Güvensiz) Port: Kullanıcıların bilgisayarlarının takılı olduğu tüm kenar portlardır. Bu portlardan gelen herhangi bir DHCP sunucu paketi switch tarafından anında çöpe atılır ve port kilitlenir!

! Cisco Switch Üzerinde DHCP Snooping'i Global Olarak Açma
ip dhcp snooping
ip dhcp snooping vlan 10,20,30

! Uplink Portunu Güvenilir (Trusted) Olarak İşaretleme
interface GigabitEthernet1/0/24
 description UPLINK_TO_CORE_SWITCH
 ip dhcp snooping trust

! Kullanıcı Portlarında Hız Sınırı (DHCP Starvation Saldırısını Önleme)
interface range GigabitEthernet1/0/1 - 20
 ip dhcp snooping limit rate 15 ! Saniyede maksimum 15 DHCP paketi!

2. Dynamic ARP Inspection (DAI) ile ARP Sahteciliğini Önleme

Saldırganlar arpspoof gibi araçlarla ağa sahte ARP paketleri göndererek "Ağ geçidi (Gateway) benim!" anonsu yapar ve tüm trafiği kendi üzerine çeker.

Dynamic ARP Inspection (DAI), DHCP Snooping'in oluşturduğu IP-MAC eşleşme tablosunu (Binding Database) referans alır. Eğer gelen bir ARP paketindeki IP-MAC ikilisi bu tabloda yoksa, paket sahte kabul edilir ve anında düşürülür!

! DAI'yi Kullanıcı VLAN'ında Aktif Etme
ip arp inspection vlan 30

! Uplink Portunu DAI Açısından da Güvenilir Yapma
interface GigabitEthernet1/0/24
 ip arp inspection trust

3. Statik IP Kullanan Cihazlar İçin ARP ACL Tanımlama

Ağdaki sunucular, yazıcılar veya kameralar statik IP kullanır; bu nedenle DHCP tablosunda yer almazlar. DAI'nin bu cihazları engellememesi için bir ARP erişim listesi (ARP Access List) tanımlanmalıdır:

arp access-list STATIC_DEVICES
 permit ip host 10.10.30.5 mac host 0011.2233.4455
 permit ip host 10.10.30.6 mac host aabb.ccdd.eeff
!
ip arp inspection filter STATIC_DEVICES vlan 30

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• Option 82 Bilgisi Nedeniyle DHCP Paketlerinin Reddedilmesi: Kenar switch DHCP paketine Option 82 bilgisi eklediğinde, omurga router bu paketi "untrusted" kabul edip atabilir. Switch üzerinde no ip dhcp snooping information option komutu verilerek paketlerin bozulmadan geçmesi sağlanmalıdır.
• DAI Hız Aşımı (Rate-Limit) Nedeniyle Port Kilitlenmesi: Bir bilgisayar açılışta çok hızlı ARP anonsu yaparsa switch portu err-disabled moduna düşebilir. Kullanıcı portlarında DAI hız limiti optimize edilmelidir: ip arp inspection limit rate 20.

Mühendis Notu

Ağ güvenliği yalnızca çevre duvarında (firewall) bitmez. İç ağda (Layer 2) DHCP Snooping, DAI ve IP Source Guard açılmamış bir altyapı, içeriden gelebilecek en ilkel saldırılara karşı bile tamamen savunmasızdır.