Sistemimizde sahte dhcp sunucuların önüne geçmek için switch üzerinde dhcp snooping özelliğini aktif etmemiz gerekmektedir. Bu yazıda bu işlemin Cisco switchlerde nasıl yapılacağını anlatacağım.

1-) Aşağıdaki görselde örnek yapımızı görebilirsiniz;

Burada dhcp sunucumuz switch üzerinde fastethernet0/1 portuna bağlı durumda ve 10.0.0.0/8’li bloktan ip dağıtımı yapıyor.

2-) Bilgisayarımıza baktığımızda sorunsuz olarak ip alabildiğini görebiliyoruz.

3-) Şimdi aşağıdaki komutlar ile switch üzerinde dhcp snooping özelliğini aktif edelim;

enable
conf term
ip dhcp snooping
ip dhcp snooping vlan 1
interface fast0/1
ip dhcp snooping trust

Burada ilk dört satırdaki komutlar ile switch üzerinde dhcp snooping servisini aktif yapmış olduk. Bu komutları uygulayıp bırakırsak tüm portlar güvensiz olarak işaretlenmiş olacaktır. Daha sonraki komutlar ile dhcp sunucumuzun switch üzerinde bağlı olduğu portu yani FastEthernet0/1 portunu vlan 1’de (dhcp sunucu hangi vlan da ise onu belirtmemiz gerekmektedir) güvenli olarak göstererek dhcp sunucunun bu port üzerinden hizmet verdiğini belirtmiş olduk. Bu işlemden sonra da tüm client cihazlar sorunsuz olarak ip alacaktır.

4-) Şimdi kötü niyetli bir kişi dhcp sunucunun kablosunu çıkardı veya dhcp sunucuya saldırı yaparak bu sunucuyu hizmet veremeyecek duruma getirdi ve daha sonra sisteme kendi sahte bir dhcp sunucu kurdu. Aşağıdaki görselde bu senaryoyu görebilirsiniz. Bu dhcp sunucu 192.168.1.0/24 ip bloğunda hizmet veriyor ve switchte FastEthernet0/3 portuna bağlı.

5-) Bilgisayarımıza tekrar baktığımızda dhcp sunucudan ip alamadığını görüyoruz. Çünkü switchte sadece FastEthernet0/1 portu dhcp hizmeti için güvenli durumda. Burada sahte dhcp sunucu FastEthernet0/3 portuna bağlı. Bu nedenle cihaz ip dağıtımı yapamıyor.

Bu makalede anlatacaklarım bu kadar. Tekrar görüşmek üzere. Şimdilik hoş çakalın.

Cisco switchlerde bir portu trunk yaptığımız o port üzerinden tüm vlanların geçişine izin vermiş olmaktayız. Genellikle yapılarda bu şekilde kullanılmasına rağmen bazen trunk port üzerinden tüm vlanların geçişi istenmeyebilir. Bu durumda trunk port üzerinden geçişine izin vermek istediğimiz vlanları belirtmemiz gerekmektedir. Bu işlemi aşağıdaki örnekteki komutları ile yapabiliriz;

enable
conf term
interface fast0/1
switchport trunk allowed vlan 10-20

Burada 10’dan 20’ye kadar olan vlanların geçişine izin vermiş olduk. Eğer sadece bir vlanın geçişine izin vermek istiyorsak komutu aşağıdaki gibi kullanabiliriz;

enable
conf term
interface fast0/1
switchport trunk allowed vlan add 50

Burada 50 numaralı vlanın geçişine izin vermiş olduk.

Önceki makalelerimizde trunk yapılandırma ve vlan işlemlerinin nasıl yapıldığını anlatmıştık. Network kategorisi altından makalelerimize ulaşabilirsiniz. Bu yazıda trunk porttan geçmesine izin vermek istediğimiz vlanları nasıl belirleyeceğimizi anlatacağız. Bu işlem için aşağıdaki örneği inceleyelim;

enable
conf term
int fast0/1
switchport trunk allowed vlan 10-50

Yukarıda trunk port üzerinde (fastethernet0/1) 10’dan 50’ye kadar olan tüm vlanların geçişine izin vermiş olduk. Bu şekilde izin verdikten sonra yeni bir vlan geçişine izin vermek isteyebiliriz. Örneğin sistemimize 60 numaralı vlan eklemek istiyoruz. Bu durumda yukarıdaki komutu kullanamayız. Eğer kullanırsak verdiğimiz vlan izni (10-50 arası) silinecektir ve sadece 60 vlan ına izin verilmiş olacaktır. Bu nedenden dolayı aşağıdaki gibi komut uygulamamız yeterli olacaktır;

enable
conf term
int fast0/1
switchport trunk allowed vlan add 10-50

Artık 10-50 arası vlanların yanında 60 vlan ının geçişine de izin vermiş olduk.

Cisco cihazlara bağlantı yapıldığında ekranda mesaj gösterebiliriz. Bu işlem için cihaz üzerinden aşağıdaki komutları uygulamamız yeterli olacaktır;

enable
conf term
banner motd 'hosgeldiniz'

Biz bu örnekte ekranda ‘hosgeldiniz’ yazdırdık.

Not: Packet Tracer uygulaması üzerinden işlem yapıyorsak mesajı görmek için bu komutları uyguladıktan sonra iki kere exit komutunu çalıştırmamız gerekmektedir.