Настройка защиты dhcp snooping+arp spoofing mikrotik?

Question

[yourfatherinlaw]

Есть много старых коммутаторов crs112, на них VLANы через switch. Как корректно настроить защиту от dhcp rogue и arp spoofing? Trusted порт не работает, так как vlan, bridge vlan filtering не включен, так как switch...

Answer 1

[Пума Тайланд]

На CRS112 (CRS1xx/2xx чип) DHCP snooping через bridge/trusted не нужен вообще, там есть родной механизм Protocol Level Isolation:

/interface ethernet switch port-isolation add port-profile=X protocol-type=dhcpv4 type=dst forwarding-type=bridged ports=ether1

(это порт к DHCP-серверу), клиентским портам ставишь тот же isolation-leakage-profile-override — и левые DHCP-ответы просто не доходят дальше свитч-чипа, bridge vlan-filtering тут вообще не нужен. Для arp spoofing нормального DAI на этом чипе нет, ближе всего Limited MAC Access per Port + arp=reply-only на шлюзе, но это защищает только сам шлюз, не L2 между клиентами.

Comments

[yourfatherinlaw]

Большое спасибо, а что касаемо port-security? Тоже не стоит на них браться за это или есть минимальные варианты?

[Пума Тайланд]

yourfatherinlaw, на CRS112 полноценного port security как у циски нет — ближе всего Host Table со статическими MAC-записями и drop для всего что не совпало. Не так гибко, но для базовой защиты хватает.