Mimari ve çalışma modeli
DHCP snooping, güvenilmeyen erişim portlarından gelen sunucu yanıtlarını engeller ve istemci MAC, IP, VLAN, port ile kira bilgisinden bir binding tablosu oluşturur. Dynamic ARP Inspection bu bağları ARP paketleriyle karşılaştırır. IP Source Guard ise veri paketlerinin kaynak IP/MAC bilgisini beklenen bağla sınırlar. Üçü aynı problemi çözmez; ardışık kontroller olarak tasarlanır.
Uplink veya gerçek DHCP sunucusuna giden port yanlışlıkla untrusted kalırsa istemciler adres alamaz. Buna karşılık kullanıcı portunu trusted yapmak sahte DHCP yanıtlarının güven sınırını aşmasına izin verir. Trunk üzerindeki güven kararı fiziksel bağlantıya değil, o bağlantıdan hangi DHCP yanıtlarının gelmesinin beklendiğine dayanmalıdır.
Statik IP cihazları, telefon-PC passthrough, sanallaştırma hostları, port-channel ve switch yeniden başlatması binding yaşam döngüsünü etkiler. Binding veritabanı kalıcı değilse yeniden başlatma sonrasında DAI/IP Source Guard geçici kesinti oluşturabilir. Dağıtımdan önce yalnız loglama veya dar VLAN pilotu ile gerçek istisnaları çıkarın.
- 1DHCP alışverişi
- 2Binding tablosu
- 3ARP doğrulama
- 4Kaynak IP/MAC uygulaması
Tasarım parametreleri
- Güvenilen port
- Yalnız gerçek DHCP yanıt yolunu trusted yapın; erişim portlarında güven varsaymayın.
- Hız sınırı
- DHCP paket sınırını normal yenileme patlaması, telefon ve sanallaştırma davranışıyla pilotta ölçün.
- Statik cihaz
- Yazıcı, kamera ve altyapı cihazları için statik binding veya ayrı politika oluşturun; kontrolü tümden kapatmayın.
- Kalıcılık
- Binding database yazım hedefini, erişilebilirliğini ve yeniden başlatma sonrasında yüklenmesini doğrulayın.
Hesap ve uygulama örneği
Bir erişim VLAN'ında iki uplink ve 48 kullanıcı portu olduğunu varsayın. Yalnız DHCP sunucu yolundaki port-channel trusted olsun. Önce DHCP snooping'i açıp 24 saat binding üretin; sonra DAI'yi, en son IP Source Guard'ı beş pilot portta etkinleştirin. Telefon ile arkasındaki PC'nin iki ayrı bağı oluştuğunu doğrulayın.
Yenileme saatinde 300 istemci 60 saniyede DHCPREQUEST gönderiyorsa ortalama 5 paket/saniye görülür; tepe değer ortalamanın çok üzerinde olabilir. Rastgele bir rate limit seçmek yerine span/telemetry ile gerçek tepeyi ölçüp güvenli pay bırakın.
Örnek komutlar: laboratuvar değerlerini değiştirin; kullanmadan önce yetkiyi ve yazılım sürümünü doğrulayın.
# Sözdizimi üretici ve sürüme göre değişir; aşağıdaki akışı laboratuvarda eşleyin.
show ip dhcp snooping binding
show ip arp inspection statistics
show ip verify source
# Bir pilot erişim VLAN'ı ve sınırlı port grubu ile başlayın.Hata teşhisi
| Belirti | Olası neden / ayrım | Doğrulama |
|---|---|---|
| İstemciler 169.254 adres alıyor | DHCP sunucu yanıtı untrusted portta düşüyor veya VLAN listesi eksik. | Snooping drop sayacı, uplink güveni ve sunucuya giden VLAN yolunu karşılaştırın. |
| DHCP çalışıyor ama trafik yok | IP Source Guard bağı oluşmamış veya statik istemci tanımsız. | Port/VLAN binding tablosunu istemcinin gerçek IP ve MAC değeriyle eşleştirin. |
| Gateway ARP kaydı aralıklı kayboluyor | DAI, geçerli statik altyapı ARP'sini binding bulunmadığı için düşürüyor olabilir. | ARP inspection logunu, ARP ACL/statik binding ve gateway port rolüyle inceleyin. |
Kabul ve doğrulama kontrolleri
- Sahte DHCP OFFER paketini erişim portunda reddedin.
- Gerçek istemcinin kira yenilemesini izleyin.
- Sahte ARP yanıtını DAI ile düşürün.
- Başka istemcinin IP adresini kullanan paketi reddedin.
- Switch yeniden başlatmasından sonra binding davranışını sınayın.
- Statik cihaz ve telefon-PC senaryosunu doğrulayın.
İlgili kavramlar
Katman 2 ve Katman 3 sınırları
VLAN ayrı bir yayın alanı oluşturur; VLANlar arası iletişimi yönlendirme ve erişim politikası belirler. Bir trunk üzerindeki VLAN listesi, access port ataması ve gateway konumu birlikte incelenmelidir. Ağ çiziminde yalnız kablo bağlantısını değil, paketlerin nerede yönlendirildiğini ve nerede filtrelendiğini gösterin. Aynı switchte bulunmak aynı yetkiye sahip olmayı gerektirmez. Bir erişimin çalışmaması halinde önce doğru VLAN ve adresi, ardından gateway, route ve politika eşleşmesini doğrulayın.
Güven sınırı ve hata alanı
Güven sınırı, aynı erişim kararlarını paylaşan bileşenleri ayırır; hata alanı ise tek bir olayın birlikte etkileyebileceği kaynakları tanımlar. İki VLAN kullanmak, aralarında serbest yönlendirme varsa güçlü bir güven sınırı kurmaz. İki yedek aynı yönetici hesabıyla silinebiliyorsa da farklı klasörlerde bulunmaları ayrı hata alanı sağlamaz. Tasarımda fiziksel yer, kimlik sağlayıcı, yönetim hesabı, ağ yolu ve enerji kaynağını ayrı ayrı değerlendirin. Bir bileşen kaybedildiğinde hangi erişimlerin ve kurtarma seçeneklerinin ayakta kalacağını sınayın.
Kimlik doğrulama ve oturum
Kimlik doğrulama kullanıcının veya iş yükünün kim olduğunu kanıtlar; yetkilendirme ise bu kimliğin ne yapabileceğini belirler. Başarılı oturum açma, bütün kaynaklara erişim izni anlamına gelmez. Kullanıcı oturumları, servis kimlikleri, API belirteçleri ve cihaz sertifikaları farklı yaşam döngülerine sahiptir. İlk giriş kadar oturum süresi, belirteç yenileme, işten ayrılma, kayıp cihaz ve acil erişim senaryolarını da tasarlayın. Kimlik sağlayıcı erişilemez olduğunda hangi oturumların süreceğini ve hangi yeni erişimlerin engelleneceğini ölçün.
En az ayrıcalık ve görev ayrımı
En az ayrıcalık, bir görevin gerektirdiği izinlerin belirli kaynak ve süreyle sınırlandırılmasıdır. Herkese aynı yönetici rolünü vermek, erişim incelemesini ve olay araştırmasını zorlaştırır. Günlük kullanıcı hesabı ile ayrıcalıklı hesabı ayırın; servis hesaplarının etkileşimli kullanımını ve gereksiz ağ erişimini kısıtlayın. Yetki matrisi, kimliğin kaynağa hangi işlemle eriştiğini göstermelidir. Bir izin kaldırıldığında uygulamanın çalışmayı sürdürmesi de test kapsamına girer: gereksiz yetkiler bazen yalnız kontrollü azaltma sırasında ortaya çıkar.
Yüksek erişilebilirlik ile kurtarma ayrımı
Yüksek erişilebilirlik, belirli arızalarda hizmetin kısa kesintiyle sürmesini hedefler; yedekleme, kaybolan veya bozulan veriyi önceki bir noktadan geri getirir. Bir küme yanlış silinen kaydı diğer düğüme de aktarabilir. Bu nedenle HA ve backup birbirinin yerine geçmez. Hizmetin DNS, kimlik, ağ, depolama ve enerji bağımlılıklarını birlikte düşünün. Başarılı düğüm geçişi tek başına yeterli değildir: kullanıcı oturumunun, uygulama yazmasının ve dış entegrasyonların geçiş sonrası davranışı da ölçülmelidir.
Telemetri ve zaman eşleştirmesi
Telemetri, sistemin ne yaptığını açıklayan log, metrik ve olay kayıtlarının bütünüdür. Log bir olayın ayrıntısını, metrik zaman içindeki davranışı, dağıtık iz ise isteğin bileşenler arasındaki yolunu gösterir. Saat farkları aynı olayı farklı zamanlarda olmuş gibi gösterebilir. Merkezi zaman senkronizasyonu, kaynak kimliği ve tutarlı saat dilimi kullanın. Alarm tasarımında yalnız eşik değil, ne kadar sürdüğü ve kullanıcıya etkisi de değerlendirilmelidir. Kayıtların kesildiği durum ayrıca izlenmeli; log yokluğu, olay yokluğu şeklinde yorumlanmamalıdır.
Birincil teknik dokümantasyon
Doz Teknoloji teknik ekibi tarafından aşağıdaki birincil kaynaklar temel alınarak hazırlanmıştır. Hesaplar ve laboratuvar senaryoları varsayımlarını belirtir; uygulamadan önce kullanılan ürün sürümünü doğrulayın.