如何保护低预算的网络免受流氓DHCP服务器的攻击?
我正在帮助一个朋友管理一个拥有80套公寓的公寓大楼中的共享互联网连接-8个楼梯,每套10个公寓。该网络在建筑物的一端布置有Internet路由器,并与第一个楼梯的便宜的非管理型16端口交换机相连,该楼梯还与前10个公寓相连。一个端口连接到下一个楼梯中的另一个16端口cheapo交换机,那里连接着这10个公寓,依此类推。有点像菊花链的交换机,每个“雏菊”上有10套公寓作为辐条。该建筑为U形,大约50 x 50米,高20米-因此,从the刨机到最远的公寓,包括上下楼梯,大约为200米。 我们有很多问题,人们会以错误的方式连接wifi路由器,创建流氓DHCP服务器以中断大量用户,我们希望通过使网络更智能来解决此问题(而不是进行物理拔出二进制搜索) )。 由于我的网络技能有限,我看到了两种方法-DHCP侦听或将整个网络分为每个公寓的单独VLAN。单独的VLANS为每个单元提供了到路由器的专用连接,而DHCP侦听仍将允许LAN游戏和文件共享。 DHCP侦听是否可以使用这种网络拓扑,还是依赖于网络处于正确的星型配置中?我不确定是否存在不同级别的DHCP侦听-就像昂贵的Cisco交换机可以做什么,但是像TP-Link,D-Link或Netgear这样的廉价交换机只能在某些拓扑结构中工作吗? 基本的VLAN支持是否足以满足此拓扑要求?我想即使便宜的托管交换机也可以使用其自己的VLAN标签来标记每个端口的流量,但是当菊花链中的下一个交换机在其“下行”端口上接收到数据包时,它不会剥离或使用自己的VLAN标签来替换trunk-tag(或骨干网流量的名称)。 资金紧张,而且我认为我们买不起专业级的思科(多年来我一直在为此努力),所以我想就哪种解决方案在低端网络设备上获得最佳支持提供一些建议。有哪些推荐的特定型号?例如低端HP交换机,甚至是TP-Link,D-Link等预算品牌。 如果我忽略了解决此问题的另一种方法,那是由于我缺乏知识。:)