{"id":403,"date":"2025-01-15T14:41:44","date_gmt":"2025-01-15T13:41:44","guid":{"rendered":"https:\/\/network360.fr\/?p=403"},"modified":"2025-06-20T15:34:58","modified_gmt":"2025-06-20T13:34:58","slug":"configuration-dynamic-arp-inspection","status":"publish","type":"post","link":"https:\/\/network360.fr\/index.php\/2025\/01\/15\/configuration-dynamic-arp-inspection\/","title":{"rendered":"Configuration – Dynamic ARP Inspection"},"content":{"rendered":"\n

Comme dans l’article Configuration \u2013 DHCP Snooping<\/a>, j’ai du mettre en place une solution de s\u00e9curit\u00e9 contre des attaques de type ARP Spoofing. <\/p>\n\n\n\n

Cette solution de s\u00e9curit\u00e9 s’appelle DAI ou Dynamic ARP Inspection. <\/strong><\/p>\n\n\n\n

Le but de l’attaque ARP Spoofing et de se faire passer pour un autre. C’est cool mais comment ca marche ? <\/p>\n\n\n\n

L’attaquant va envoyer massivement des Reply ARP <\/em><\/strong>avec une fausse correspondance MAC-IP. <\/strong> Il va forger des paquets ARP avec comme adresse IP <\/strong>celle de la passerelle et comme MAC <\/strong>adresse la sienne. Les autres \u00e9quipements vont mettre \u00e0 jour leur table ARP avec les mauvaises informations. Ainsi, les flux vont \u00eatre transmis \u00e0 l’attaquant au lieu de la passerelle.<\/p>\n\n\n\n

Il est possible que l’attaquant puisse ensuite rediriger le flux vers la passerelle. Il sera donc ind\u00e9tectable.<\/p>\n\n\n\n

<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

<\/p>\n\n\n\n

La fonctionnalit\u00e9 DAI <\/strong>permet d’\u00e9viter ce type d’attaque. <\/p>\n\n\n\n

<\/p>\n\n\n\n

<\/th><\/th><\/th><\/tr><\/thead>
Type<\/strong><\/td>Attaque r\u00e9seau<\/td>Solution de s\u00e9curit\u00e9<\/td><\/tr>
But<\/strong><\/td>Falsifier des requ\u00eates ARP pour d\u00e9tourner le trafic.<\/td>Prot\u00e9ger contre les requ\u00eates ARP falsifi\u00e9es.<\/td><\/tr>
Fonctionnement<\/strong><\/td>Envoie de fausses associations IP-MAC.<\/td>V\u00e9rifie et bloque les requ\u00eates ARP suspectes.<\/td><\/tr>
Impact<\/strong><\/td>Interception ou perturbation du trafic.<\/td>R\u00e9duction des attaques ARP.<\/td><\/tr><\/tbody>
<\/td><\/td><\/td><\/tr><\/tfoot><\/table><\/figure>\n\n\n\n

<\/p>\n\n\n\n

Activation du DAI<\/h2>\n\n\n\n

<\/p>\n\n\n\n

Pour activer le DAI, il suffit d’une commande (Par VLAN)<\/p>\n\n\n\n

ip arp inspection vlan 10<\/pre>\n\n\n\n
<\/p>\n\n\n\n
Attention : Ca va secouer ! <\/strong><\/p>\n\n\n\n
Ci-dessous, les logs des PC qui voient leur requ\u00eate ARP supprim\u00e9 par le switch (Par la fonction DAI). <\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Pourquoi ? <\/p>\n\n\n\n
Comme dit en introduction, le DAI va supprimer les paquets ARP qui n’ont pas la bonne correspondance MAC-IP. Or, le DAI ne peut pas deviner tout seul. Il doit avoir une table de r\u00e9f\u00e9rence qui dit de mani\u00e8re sur la correspondance MAC-IP. <\/p>\n\n\n\n
<\/p>\n\n\n\n
Assignation statique<\/h2>\n\n\n\n
La premi\u00e8re solution est de d\u00e9finir statiquement la correspondance MAC-IP. Sauf cas sp\u00e9cifique, c’est pas une solution viable car trop compliqu\u00e9 \u00e0 maintenir. <\/p>\n\n\n\n
Voici la commande : <\/p>\n\n\n\n
ip source binding AAAA.BBBB.CCCC vlan 10 10.0.0.1 interface Gi1\/0\/1<\/pre>\n\n\n\n