+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Настройка Dynamic ARP Inspection (DAI) на RouterOS

Настройка Dynamic ARP Inspection (DAI) на RouterOS, RouterOS

Bareh17

Guest

09.06.2021 08:01:00

Всем привет! Dynamic ARP Inspection (DAI) — это функция безопасности, которая проверяет ARP-пакеты в сети. DAI позволяет администратору сети перехватывать, записывать и отбрасывать ARP-пакеты с неправильными соответствиями MAC-адресов и IP-адресов. Эта возможность защищает сеть от некоторых атак типа «человек посередине». DAI предотвращает такие атаки, перехватывая все ARP-запросы и ответы. Каждый перехваченный пакет проверяется на корректность сопоставления MAC-адреса и IP-адреса до того, как локальный ARP-кэш обновится или пакет будет отправлен по назначению. Неверные ARP-пакеты сбрасываются. DAI определяет валидность ARP-пакета на основе данных о правильных сопоставлениях MAC и IP, хранящихся в базе, сформированной DHCP snooping.

Какая конфигурация требуется для внедрения этой технологии? (DHCP snooping и доверенные порты уже настроены).

ekarin

Guest

01.04.2023 05:29:00

Я думаю, что MikroTik пока не разработал таблицу DHCP snooping, поэтому внедрить DAI в коммутаторы MikroTik будет сложно. Мне кажется, что DHCP snooping у MikroTik просто проверяет DHCP Offer-сообщения от DHCP-серверов без создания таблицы DHCP snooping. Ещё одна причина — в существующем железе коммутаторов невозможно добавить таблицу DHCP snooping. Если бы это было просто, MikroTik уже бы анонсировал это как «Coming Soon». Я считаю, что эта функция очень важна, если MikroTik хочет, чтобы их коммутаторы широко использовались на мировом рынке, особенно учитывая рост числа атак на втором уровне, которые подрывают доверие в бизнесе. Пока что коммутаторы MikroTik выглядят многообещающе, но когда я увидел, что в них нет DAI в отличие от коммутаторов Cisco, мне трудно сказать, что они полностью подходят для малых, средних или крупных сетей.

chechito

Guest

01.04.2023 17:47:00

Да, Dynamic ARP Inspection (DAI) — это еще одна широко распространенная функция, которая не поддерживается коммутаторами MikroTik. Я уверен, что MikroTik это в поле зрения и надеюсь, что в ближайшем будущем мы это увидим. Но, думаю, сейчас приоритет отдается аппаратному ускорению на уровне 3, что гораздо важнее для масштабирования ISP-инфраструктуры MikroTik. В конце концов, в этом мире всё ограничено, нельзя получить всё и сразу.

ekarin

Guest

04.04.2023 04:12:00

Согласен. Аппаратное разгрузка L3 просто необходима. Два года назад функция L3 HW Offloading была доступна только в CRS317. Теперь я могу использовать её в CRS328/326. Я проверял пропускную способность с включённой аппаратной разгрузкой L3 — работает! Есть надежда применить это для магистрального коммутатора. Планирую ещё протестировать MLAG.

rextended Guest	#5 0 04.04.2023 08:04:00 Почему ты воскрешаешь темы несколько лет назад вместо того, чтобы помочь с текущими проблемами пользователей? Вот, например, эта: http://forum.mikrotik.com/t/dhcp-issues-on-lhg-xl-52-ac-running-as-a-bridge/165621/1

ekarin Guest	#6 0 28.04.2023 08:06:00 Извините. У нас возникла проблема с ARP-спуфингом, а не с беспроводной сетью. Сейчас мы можем обойти это и уже обеспечиваем работу функции DAI.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры