助け合いフォーラム
この問題はプレミアムコンテンツです。
ip arp inspection validateの検査について
初めまして。ネットワーク初学者の者です。
ip arp inspection validateの検査について、解説ページで疑問に思ったことを質問させてください。
ip arp inspection validateの検査オプションの項目に以下のような解説があります。
【解説】
3. (config)#ip arp inspection validate {src-mac | dst-mac | ip}
src-mac … イーサネットヘッダの送信元MACアドレスと、ARPパケットのデータの送信元MACアドレスが同じかを検査
dst-mac … イーサネットヘッダの宛先MACアドレスと、ARPパケットのデータの宛先MACアドレスが同じかを検査
【想定シチュエーション】
登場するものとして、クライアント、ゲートウェイ、攻撃者の3つがあるとして、
攻撃者がクライアントに対して、ゲートウェイ宛の通信を攻撃者宛に流すようにする想定。
【質問】
①その場合、解説に記載してある「イーサネットヘッダの送信元MACアドレスと、ARPパケットのデータの送信元MACアドレスが同じかを検査」とあるが、攻撃者が送るARPリプライの場合、MACアドレスは一致しますよね？
送っているMACアドレスも経由させたい機器のMACアドレスも攻撃者のものなので、、、、
（となると、、検査する意味って？？となっております）
②上記①の認識があっている場合、検査が意味を成すシチュエーションとしてクライアント、ゲートウェイ、攻撃者、通信を経由させたい機器の4つが登場するのでしょうか。であれば、イーサネットヘッダに記載の送信元MAC（攻撃者のMACアドレス）とARPデータに記載してある送信元MACアドレス（通信を経由させたい機器のMACアドレス）で不一致が生じるので検査をする意味があると考えております。
認識に齟齬がございましたら、ご指摘していただけますと幸いです。
以上、よろしくお願いいたします。
参考に記載がありますが、そもそも「（攻撃者が詐称している）情報が本当に正しいか」をチェックするのが目的なのですよね。そのために事前に「正しい情報」がスイッチに存在しているわけです。
IPアドレスとMACアドレスの対応は「DHCPスヌーピングバインディングデータベース」や、手動で作成したバインディングデータベースを使用して確認します。
つまり、
攻撃者が送るARPリプライの場合、MACアドレスは一致しますよね
バインディングデータベースに存在する情報と一致しない情報であれば不審なものとして扱う、ということなので、攻撃者が「俺は正しく回答してるよ」って言ってもスイッチとしては「俺の持ってる情報とは違うからその自己申告は信用しない」というものとご理解いただくのが良いかなと思います。
コメント
この投稿に対して返信しませんか？
k katohiro
2024/12/11 05:38
ありがとうございます！！ 解説文のバインディングデータベースと比較するというのが抜けておりました。 ご回答いただきありがとうございました！！