P28 · ECHTES LABOR
Einen Rogue-DHCP-Vorfall im isolierten Labor untersuchen
Variante 1 / 5
AUSGANGSLAGE · Büroausbau
Unerlaubtes DNS-Angebot
Clientnetz 10.40.10.0/24, Gateway 10.40.10.1; Servernetz 10.40.20.0/24, DHCP01 10.40.20.10, optional DHCP02 10.40.20.11. Eine Router-/Relay-VM verbindet ausschließlich die Labornetze. Clients verwenden virtuelle Access-Netze statt eines Produktions-VLANs.
Ziel & Anforderungen
- Adresse aus geplantem Clientnetz 10.40.10.0/24; Maske 255.255.255.0, Gateway 10.40.10.1, DNS 10.40.20.10.
- Client- und Serverbefund mit Zeitstempel dokumentieren; zusätzlich einen nicht passenden bzw. fehlerhaften Kontrollfall prüfen.
Zusätzlicher Variantenauftrag: Unerlaubtes DNS-Angebot. Umsetzung und Messergebnisse in einer eigenen isolierten Umgebung dokumentieren.
Zum Nachlesen: E05 · DHCP-Sicherheit am Zugangsnetz
Werkzeuge & Prüfkriterien
Cisco Catalyst 9300 · IOS XE 17.13.x / isolierter Testswitch
- Adresse aus geplantem Clientnetz 10.40.10.0/24; Maske 255.255.255.0, Gateway 10.40.10.1, DNS 10.40.20.10.
- Client- und Serverbefund mit Zeitstempel dokumentieren; zusätzlich einen nicht passenden bzw. fehlerhaften Kontrollfall prüfen.
Cisco Catalyst 9300 · IOS XE 17.13.x / isolierter Testswitch
Voraussetzungen
- Isolierter virtueller Switch ohne Bridge ins Heim- oder Firmennetz; DHCP des Hypervisors für dieses Labornetz abschalten.
- Snapshots der VMs vor Beginn; lokale Administratorrechte. Bei AD-Aufgaben: eigene Testdomäne mit DNS und ausreichenden Autorisierungsrechten.
- Versionen und Interfacebezeichnungen erfassen. Die Website prüft keine echte VM und führt diese Befehle nicht aus.
- Eigener geeigneter Laborswitch oder rechtmäßig verfügbare, funktionsfähige Netzwerksimulation mit DHCP-Snooping-Unterstützung; reine Windows-VMs ersetzen diese Switchfunktion nicht.
- Für DNS-Tests: vorbereiteter DNS-Dienst 10.40.20.10, Zone nordlicht.test und A-Eintrag intranet auf 10.40.20.30; dort ein erreichbarer Testhost. Eine per DHCP versandte DNS-Adresse installiert diesen Dienst nicht.
Offizielle Produktdokumentation
- Cisco · DHCP Snooping ↗Catalyst 9300, IOS XE 17.13.x; Kommandos nicht auf beliebige Switches übertragen
- Cisco · Dynamic ARP Inspection ↗Catalyst 9300, IOS XE 17.5.x; Prinzip und Plattformgrenzen
- Wireshark · DHCP und Beispielmitschnitt ↗dhcp.pcap; echte aufgezeichnete Pakete, unabhängig vom Nordlicht-Lehrnetz
- ISC dhcrelay · DHCPv4-/DHCPv6-Relay ↗Debian Bookworm, isc-dhcp-relay 4.4.3-P1-2; festes isoliertes Lehrprofil
Hinweise & Musterlösung
Hinweise sind gestuft. Die Musterlösung öffnet sich nur auf Wunsch.