İdeal kampüs ağ yapisinin tasarimi ve güvenlik performansinin

Resim 3.18
Switch3 port güvenlik ayarları
3.3.3.3 DHCP Snooping Yöntemi 
Bu güvenlik önlemi son kullanıcı cihazlarının DHCP sunucu olarak kullanılmasını ve 
kötü niyetli kişilerin ağ trafiğini dinlemesini önleyecek yöntemlerden biridir.
Uygulamada kenar anahtarlar üzerinde bu kural aktif duruma getirilerek DHCP 
sunucusunun bağlı olduğu portlar güvenilir (trust) olarak işaretlenmiştir (Çizelge 3.7). 
Çizelge 3.7
DHCP tanımlaması 
Kullanılan Komutlar 
ip dhcp snooping 
ip dhcp snooping trust 
 
3.3.3.4 Arp Inspection
Ağ cihazları üzerinden 2 farklı şekilde Arp poisoning saldırısının tespit edilmesi 
mümkündür (Resim 3.19).

---

81 
Resim 3.19
Arp yapılandırma örneği - 1 
VLAN bazında güvenlik önlemi alınabilir. Arp saldırısına karşı koruma alınmış, trunk 
port dışındaki tüm portlar güvenilmez olarak işaretlenmiş ve bu portlarda Vlan 81 ile 
Vlan 84 arası için ilgili güvenlik önlemi aktif duruma getirilmiştir. Diğer bir yöntem 
ise port bazında güvenlik önlemi almaktır (Resim 3.20).
Resim 3.20
Arp yapılandırma örneği - 2 
Bu yöntem ile Resim 3.20’de görüldüğü üzere ilgili portta 3 saniye içinde 25’ten fazla 
ARP mesajı geldiğinde bu ARP mesajlarını saldırı olarak algılayacak ve üzerinden 
geçen trafiği kesecektir. Daha sonra port anahtarlama görevini yapmaya devam 
edecektir. 
3.3.3.5 Bpdu Guard Özelliği 
STP, aktif olduğunda anahtarlar arasından bir tanesi root bridge olarak seçilir ve 
döngüye neden olabilecek portlar otomatik olarak bloklanır. STP ataklarına karşı 
önlem alınmadığı durumda yapılabilecek bir atak cihazlar arasında sonsuz döngülerin 
oluşmasına sebep verebilir.
Yönetilebilir anahtarlar portlarına herhangi bir cihaz takıldığında, takılan cihazın ne 
olduğunu algılayarak cihaza ait IP, MAC vb. bilgileri alması ve portun aktif duruma 
gelmesi süresine listening-learning süresi denir. İstendiği durumda bu süre kısaltılarak 

---

82 
bekleme yapılmadan port aktif duruma getirilebilir. Bu yöntem için spanning-tree 
portfast yöntemi kullanılır. Bu durumda ilgili portta hiçbir işlem yapılmayarak port 
aktif duruma getirilir. Bu durumda ilgili porta anahtar (switch) takılmasına izin 
verilmiş olur. Böyle bir durumda mevcut topoloji bozulacak ve ağ saldırılara açık 
duruma gelecektir. Saldırgan ilk başta ağı dinleyerek root bridge’in “bridge ID” 
değerini öğrendikten sonra kendisinin ağa bağladığı ağa BPDU çerçevelerini gönderir. 
Bu işlem sonunda eğer bağlanan anahtar (switch), root (kök) duruma gelirse artık 
saldırgan ağ trafiğini dinleyebilir.
“BPDU guard” özelliği aktif hale getirilmiş olan portlara/anahtarlara BPDU mesajı 
gelirse bu port error-disabled duruma gelecektir ve hiçbir şekilde STP’ye dahil 
olmayacaklar. Bu yöntemle BPDU saldırılarından korunmuş olunacaktır. 
Laboratuvar uygulamasında kontrolümüz dışında anahtar (switch) takılmasını önlemek 
için “BPDU guard” özelliği aktif duruma getirilmiştir. Son kullanıcı cihazlarının 
takıldığı Switch3 ve Switch4’ün acccess portlarında yapılan tanımlamalar aşağıdaki 
gibidir (Resim 3.21).