Der oft vergessene Layer 2
Viele Angriffe setzen im lokalen Netz an – nicht am Perimeter.
Wer physischen oder WLAN-Zugang hat, kann Layer 2 angreifen.
- Switching-Ebene braucht eigene Schutzmaßnahmen
- Interner Angreifer ist ein reales Szenario
- Grundhärtung der Access-Switches
802.1X / NAC
Zugangskontrolle: nur authentifizierte Geräte kommen ins Netz.
- Port bleibt gesperrt bis zur erfolgreichen Anmeldung
- RADIUS-Server prüft die Identität
- NAC kann zusätzlich den Gerätezustand bewerten
DHCP-Snooping
Der Switch erlaubt DHCP-Antworten nur von vertrauenswürdigen Ports.
- Blockt Rogue-DHCP-Server (falsche Gateways/DNS)
- Baut eine Binding-Tabelle (IP↔MAC↔Port) auf
- Grundlage für weitere Schutzfunktionen
Dynamic ARP Inspection
DAI prüft ARP-Pakete gegen die DHCP-Snooping-Tabelle.
- Verwirft gefälschte ARP-Antworten
- Wehrt ARP-Spoofing / Man-in-the-Middle ab
- Setzt aktiviertes DHCP-Snooping voraus
Port-Security
Begrenzt, welche und wie viele MAC-Adressen pro Port erlaubt sind.
- Schützt vor angeschlossenen Fremdgeräten/Hubs
- Verletzung → Port sperren oder alarmieren
- Sinnvoll an Endgeräte-Ports
Typische Angriffe
VLAN-Hopping
Zugriff auf fremde VLANs – Gegenmittel: Native VLAN härten, kein Auto-Trunk.
ARP-Spoofing
Umleiten des Verkehrs – Gegenmittel: DAI + DHCP-Snooping.
- Unbenutzte Ports abschalten
- Management-VLAN vom Nutzerverkehr trennen