KR100437726B1 - The System for Monitering and Breaking a Private DHCP Server and The same Method - Google Patents
The System for Monitering and Breaking a Private DHCP Server and The same Method Download PDFInfo
- Publication number
- KR100437726B1 KR100437726B1 KR10-2002-0008432A KR20020008432A KR100437726B1 KR 100437726 B1 KR100437726 B1 KR 100437726B1 KR 20020008432 A KR20020008432 A KR 20020008432A KR 100437726 B1 KR100437726 B1 KR 100437726B1
- Authority
- KR
- South Korea
- Prior art keywords
- server
- address
- dhcp
- private
- client
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
- H04L63/306—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information intercepting packet switched data communications, e.g. Web, Internet or IMS communications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/09—Mapping addresses
- H04L61/10—Mapping addresses of different types
- H04L61/103—Mapping addresses of different types across network layers, e.g. resolution of network layer into physical layer addresses or address resolution protocol [ARP]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/50—Address allocation
- H04L61/5007—Internet protocol [IP] addresses
- H04L61/5014—Internet protocol [IP] addresses using dynamic host configuration protocol [DHCP] or bootstrap protocol [BOOTP]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
- H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2101/00—Indexing scheme associated with group H04L61/00
- H04L2101/60—Types of network addresses
- H04L2101/618—Details of network addresses
- H04L2101/622—Layer-2 addresses, e.g. medium access control [MAC] addresses
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Technology Law (AREA)
- Small-Scale Networks (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
구내정보 통신망(LAN)이나 광역 통신망(WAN)의 네트워크 구축으로 다수의 해당 가입자에게 센터에서 보내지는 IP를 어드레스 자동취득 프로토콜 (이하, DHCP라 한다) 서버를 이용하여 자동적으로 할당하는 것에 의해 인터넷의 접속을 가능하게 하는 환경에서, 불법공유 프로그램을 설치하여 사설DHCP 서버를 구축하게 되면 인터넷 접속을 위해 공인된 IP 분배를 요구하는 정상적인 가입자에게 사설IP가 할당되는데 이 경우 정상적인 가입자들은 공인된 IP할당 범위를 벗어나게 되어 네트워크는 물론 인터넷 접속이 불가능하게 된다.By constructing network of local area network (LAN) or wide area network (WAN), IP address sent from center to many subscribers is automatically assigned by using automatic address acquisition protocol server (hereinafter referred to as DHCP). In an environment that enables access, if an illegal shared program is installed and a private DHCP server is established, private IP is assigned to a normal subscriber who requires authorized IP distribution for Internet access. This will leave the network and the Internet connection as well.
따라서, 본 발명은 인터넷 초고속 통신망의 지역 분배기 역할을 하는 주배선반에 접속되어, 불법공유 프로그램의 설치와 사설DHCP 서버의 구축을 감시 및 차단하는 시스템 및 그 방법을 제공하는 것이다.Accordingly, the present invention provides a system and method for monitoring and blocking the installation of an illegal sharing program and the construction of a private DHCP server connected to a main distribution board serving as a local distributor of an internet high-speed communication network.
Description
구내정보 통신망(LAN)이나 광역 통신망(WAN)의 네트워크 구축으로 다수의 해당 가입자에게 센터에서 보내지는 IP를 어드레스 자동취득 프로토콜(Dynamic Host Control Protocol:이하, DHCP라 한다.) 서버를 이용하여 자동적으로 할당하는 것에 의해 인터넷의 접속을 가능하게 하는 환경에서, 불법공유 프로그램을 설치하여 사설DHCP 서버를 구축하게 되면 인터넷 접속을 위해 공인된 IP 분배를 요구하는 정상적인 가입자에게 사설IP가 할당되는 경우가 있는데, 이 경우 정상적인 가입자들은 공인된 IP할당 범위를 벗어나게 되어 네트워크는 물론 인터넷 접속이 불가능하게 된다.The IP address sent from the center to a large number of subscribers through the construction of a local area network (LAN) or a wide area network (WAN) is automatically established using a Dynamic Host Control Protocol (hereinafter referred to as DHCP) server. In an environment that enables access to the Internet by assigning a private DHCP server by installing an illegal sharing program, a private IP may be assigned to a normal subscriber who requires an authorized IP distribution for accessing the Internet. In this case, the normal subscribers will be out of the authorized IP allocation range and will not be able to access the network as well as the Internet.
본 발명은 불법공유 프로그램의 설치와 사설DHCP 서버를 감시 및 차단하는 시스템 및 그 방법을 제공하는 것으로, 일반적으로 TCP/IP 네트워크상의 모든 호스트들은 인터넷에 접속하기 위해 전세계적으로 고유한 IP주소를 배정 받아야 한다. 하지만 인터넷의 기하급수적인 양적 팽창은 한정된 IP주소 공간의 빠른 고갈을 초래하였고, 그 결과 전세계적으로 IP주소 공간은 고갈 위험에 처하고 있는 상황이다. 이에 대한 해결책으로 한정된 IP주소 공간에서의 주소 공간을 적절하게 사용하기 위한 여러가지 방안들이 모색중이며, 그 중 하나가 유동IP를 할당하는 방법으로 해당 지역의 가입자에게 고정적인 IP를 할당하는 것보다 적은 수의 IP로, 인터넷에 접속할때마다 자동으로 IP를 할당하는 것에 의해, 전세계적으로 유일한 IP주소 공간을 절약할 수 있고 대다수 초고속 인터넷 통신망을 제공하는 업체들은 이 방법으로 가입자에게 서비스를 제공하고 있다.The present invention provides a system and method for installing an illegally shared program and monitoring and blocking a private DHCP server. Generally, all hosts on a TCP / IP network assign a unique IP address worldwide to access the Internet. Should receive However, the exponential quantitative expansion of the Internet has resulted in rapid depletion of the limited IP address space, and as a result, the IP address space is in danger of being exhausted worldwide. As a solution to this, various approaches are being sought to properly use the address space in the limited IP address space, and one of them is a method of allocating dynamic IP, which is less than assigning a static IP address to the subscribers in the area. By assigning IPs automatically every time you connect to the Internet, you can save the world's only IP address space, and most providers offering high-speed Internet communications services provide subscribers in this way.
그리고, 인터넷을 사용하려는 가입자는 즉 초고속 인터넷 통신망을 이용하여 접속하려는 클라이언트가 인터넷에 접속하기 위해서는 하나의 회선에 하나의 IP주소를 할당받아 접속을 하는 방법과 할당받은 하나의 IP주소만으로 개인적인 사설 네트워크를 구축하여 하나의 IP주소를 공유하여 사용하는 방법이 있다. 전자는 후자에 비해 빠른 속도와 안정적인 접속이 가능한 반면 비용적으로 문제가 되고, 후자는 전자에 비해 비교적 저렴한 비용으로 하나의 유동IP를 통해 다수의 클라이언트가 사용이 가능지만, 유동IP 하나로 개인적으로 네트워크를 구축한 클라이언트의 수가 많을 수록 속도와 안정적인 접속 및 다른 가입자에게 불편을 초래할 우려가 있다는 점이다.In addition, a subscriber who wants to use the Internet, that is, a client who wants to access the Internet using a high-speed Internet communication network, receives an IP address assigned to one line and accesses the private network using only the assigned IP address. There is a way to build and share a single IP address. While the former is faster and more stable than the latter, it is a costly problem. The latter can be used by multiple clients through one floating IP at a relatively low cost compared to the former, but a single floating IP The larger the number of clients that are deployed, the more speed and stable access and other subscribers may cause inconvenience.
또한, 인증되지 않은 공유프로그램(이하, 불법공유 프로그램이라 함)으로 상기 후자의 방법으로 네트워크를 구축하여 상업적으로 이용할 경우, 정상적인 인터넷 사용자들이 해당 지역내 인터넷 서비스를 이용하려 접속할 때, 불법공유 프로그램으로 구축한 네트워크의 서버에서 제공되는 사설IP(가상IP)를 할당받게 되어 해당 지역내에 인터넷 통신망을 제공하는 업체들이 설정한 IP 범위를 벗어나게 되므로 네트워크는 물론 인터넷 접속이 불가능하게 되고, 가능하더라도 상질의 서비스를 제공받지 못한다는 문제점이 있었다.In addition, if the network is established and commercially used by the latter method as an unauthorized sharing program (hereinafter referred to as an illegal sharing program), the normal Internet users access the illegal sharing program when accessing the local Internet service. Private IPs (virtual IPs) provided by the server of the network are allocated, so that the companies that provide Internet communication networks in the area are out of the IP range, and network access as well as the Internet becomes impossible. There was a problem that does not receive.
상기와 같은 문제점을 해결하는 방법으로는 가입자에게 고정IP를 할당하는 방법과 직접 불법공유 프로그램이 설치된 클라이언트의 접속을 제한하거나 아니면 불법공요 프로그램으로 구축된 서버를 제거하는 방법 외에는 구체적인 대안 방법이 없었다.As a method for solving the above problems, there was no specific alternative method except assigning a fixed IP to a subscriber and restricting access of a client with an illegal sharing program or removing a server constructed with an illegal public service program.
따라서, 본 발명은 상기와 같은 문제점을 해결하기 위해, 네트워크를 구축하여 통신망을 제공하는 업체의 주배선반(MDF:Main Distributing Frame)에 접속되어 원격지에서 모니터링이 가능한 시스템으로, 인증되지 않은 불법공유 프로그램에 의한 사설DHCP 서버의 구축을 차단하고, 정상적인 가입자에게 보다 상질의 서비스를 제공하기 위한 시스템 및 그 방법을 제공하는데 있다.Accordingly, in order to solve the above problems, the present invention is a system that can be remotely monitored by connecting to a main distribution frame (MDF) of a company that provides a communication network by constructing a network. The present invention provides a system and method for blocking the construction of a private DHCP server and providing a higher quality service to a normal subscriber.
또, 원격지에서 모니터링이 가능하므로 불필요한 관리비용의 지출을 방지하는 시스템 및 그 방법을 제공하는데 있다In addition, the present invention provides a system and a method for preventing unnecessary expenses due to remote monitoring.
또한, 불법공유 프로그램을 사용하여 사설 네트워크를 구축한 비정상 클라이언트는 정상적인 공인된 방법으로 네트워크에 접속할때 인터넷 서비스의 제공이 가능하도록 하는 시스템 및 그 방법을 제공하는데 있다.In addition, an abnormal client that establishes a private network using an illegal sharing program provides a system and a method for enabling an Internet service to be provided when accessing a network in a normal and authorized manner.
도 1은 사설DHCP 서버를 감시 및 차단하는 시스템이 접속된 구성도,1 is a configuration diagram in which a system for monitoring and blocking a private DHCP server is connected;
도 2는 사설DHCP 서버를 감시 및 차단하는 시스템의 동작 구성도,2 is an operation configuration diagram of a system for monitoring and blocking a private DHCP server;
도 3은 사설DHCP 서버를 감시 및 차단하는 방법을 나타내는 플로우 차트이다.3 is a flow chart illustrating a method for monitoring and blocking a private DHCP server.
컴퓨터 네트워크를 운용하는데 있어서 다수의 네크워크를 연결 관리하는 장비인 라우터(router) 또는 스위치 허브(hub)에 접속되어 지역 네트워크 가입자인 클라이언트의 정적 IP주소를 동적 IP주소로 자동으로 구성하게 하는 DHCP(Dynamic Host Control Protocol) 서버에 있어서, 설치된 네트워크 인터페이스 카드로 해당 지역 주배선반(MDF) 서버의 라우터 또는 허브에 접속되고, OS(Operation System)부에서 구동하게 되며, 탑재된 프로그램은 크게 사설DHCP 감시부, 사설DHCP 공격부, RARP 서버로 나누어지며, 원격거리에서 상기 DHCP 서버에 불법공유 프로그램을 설치한 클라이언트의 사설DHCP 서버를 감시 및 차단을 할 수 있는 시스템이다.DHCP (Dynamic) is used to connect a router or switch hub, which is a device that manages multiple networks, to automatically configure a static IP address of a client as a local network as a dynamic IP address. In the Host Control Protocol server, the installed network interface card is connected to the router or hub of the local MDF server, and is operated by the OS (Operation System) unit. It is divided into private DHCP attacking unit and RARP server, and it is a system that can monitor and block private DHCP server of client who installed illegal sharing program in the DHCP server at a remote distance.
여기서, RARP는 역순주소결정 프로토콜(Reverse Address Resolution Protocol)의 약어로 즉, 지역 네트워크 가입자인 클라이언트 자신의 MAC(Media Access Control) 주소에서 자신의 IP주소를 얻기 위한 방법이고, ARP는 주소결정 프로토콜(Address Resolution Protocol)의 약어로 즉, IP주소를 이용하여 MAC주소를 찾는 수단이며, 다시 말하면 MAC주소는 LAN 카드에 고유적으로 세팅되어 있는 번호로, IP주소가 논리적인 주소라면 MAC주소는 물리적인 주소라 말할 수 있다. 따라서, IP패킷(정보)이 나갈때 헤더에 IP주소가 동일하더라도 이에 대응하는 MAC주소가 틀리기 때문에 공유여부의 검출을 IP주소와 대응하는 MAC주소를 보고 검출할 수 있다.Here, RARP is an abbreviation of Reverse Address Resolution Protocol, that is, a method for obtaining its IP address from a media access control (MAC) address of a client who is a local network subscriber, and ARP is an address resolution protocol ( Address Resolution Protocol), that is, a means of finding a MAC address using an IP address, that is, a MAC address is a number uniquely set in a LAN card. If the IP address is a logical address, the MAC address is a physical address. It can be called an address. Therefore, even when the IP packet (information) exits, even if the header has the same IP address, the corresponding MAC address is different. Therefore, detection of sharing can be detected by looking at the MAC address corresponding to the IP address.
또한, 본 발명의 이해를 돕기 위해, DHCP 서버의 동작원리에 대해 간략히 설명하고자 한다. DHCP 서버는 가입자인 클라이언트에게 IP주소를 대여하는 역할을 하게 되므로, 클라이언트들은 네트워크에 접속할 때 자동적으로 IP주소를 대여받아서 접속하게 되며, 갱신시도는 임대기간의 50%가 경과되었을 때 첫 번째 일어나고 87.5%가 경과되면 두 번째 갱신시도가 요청된다. DHCP 서버와 클라이언트의 통신은 브로드케스팅(broadcasting) 방식으로 진행되며 그 절차는 다음과 같다. DHCP 발견(discover) 신호는 DHCP 클라이언트가 DHCP서버를 발견하기 위한 신호이고, 다음에, DHCP 서버가 클라이언트에게 IP임대를 제안하는 DHCP 제안(offer) 신호를 전송하며, 다음에, 클라이언트는 제안된 IP중 1개를 선택하고, 서버는 임대된 IP를 인식함으로써 네트워크에 접속을 가능하게 하여 임대된 공인 IP로 인터넷을 사용할 수 있는 것이다.In addition, in order to help the understanding of the present invention, the operation principle of the DHCP server will be briefly described. The DHCP server is responsible for lending IP addresses to clients who are subscribers. Clients automatically get IP addresses when they connect to the network. Renewal attempts occur when 50% of the lease period has elapsed. After the% has elapsed, a second update attempt is requested. The communication between the DHCP server and the client proceeds by broadcasting, and the procedure is as follows. The DHCP discover signal is a signal for a DHCP client to discover a DHCP server, and then the DHCP server sends a DHCP offer signal to the client offering IP lease, and then the client sends a proposed IP. By selecting one of them, the server recognizes the leased IP so that it can connect to the network and use the Internet as the leased public IP.
이하, 상기 설명을 참조하여 다음의 과정을 살펴보면, 보다 명확해 질것이다.Hereinafter, referring to the above description, the following process will become clearer.
지역 네트워크 가입자인 클라이언트가 컴퓨터 네트워크에 접속하고자 DHCP 서버를 검출하기 위해 DHCP 발견(discover) 신호를 전송하면 DHCP 서버는 클라이언트에게 IP 임대를 제안하는 DHCP 제안(offer) 신호를 전송함에 있어서, 상기 DHCP 감시부는 DHCP 제안(offer) 신호를 수신하여 검출된 DHCP 서버의 MAC(Media Access Control)주소 획득부에서 클라이언트의 MAC주소를 검출하여 RARP(Reverse Address Resolution Protocol) 서버로 전송을 하는 제 1 과정과, 상기 RARP 서버에서 상기 클라이언트의 MAC주소로 클라이언트의 실제 IP주소를 획득하는 제 2 과정과, 상기획득된 실제 IP주소를 인터넷 망의 할당된 범위내의 IP주소인지를 검증을 하여 공인되지 않은 사설DHCP 서버를 검증하는 제 3 과정과, 상기 공인되지 않은 사설DHCP 서버 검출시 상기 DHCP 공격부에서 등록되지 않은 사설IP주소를 IP 충돌공격으로 우선 차단을 하고 상기 공인되지 않은 사설DHCP 서버의 ARP(Address Resolution Protocol) 신호에 대한 허위응답으로 상기 검출된 사설DHCP 서버를 제거하는 제 4 과정을 포함하여 이루어지며 상기 과정을 반복하여 불법공유 프로그램이 설치된 클라이언트의 사설DHCP 서버의 운용을 감시 및 차단하는 방법이다.When a client as a local network subscriber sends a DHCP discovery signal to detect a DHCP server to access a computer network, the DHCP server sends a DHCP offer signal to the client to propose an IP lease. The first process of receiving the DHCP offer signal (offer) signal and the MAC (Media Access Control) address acquisition unit of the detected DHCP server detects the MAC address of the client and transmits to the Reverse Address Resolution Protocol (RARP) server, and A second process of acquiring the client's actual IP address from the RARP server with the client's MAC address, and verifying that the acquired real IP address is an IP address within an allocated range of the Internet network, The third step of verifying, and when the unauthorized private DHCP server is detected, private IP address that is not registered in the DHCP attack unit IP Blocking the attack first and removing the detected private DHCP server in a false response to the ARP (Address Resolution Protocol) signal of the unauthorized private DHCP server; This is a method to monitor and block the operation of the private DHCP server of the client where the shared program is installed.
여기서, IP 충돌공격이란 상기한 바와 같이 비정상적인 방법으로 접속된 클라이언트의 IP주소를 동일 IP주소와 충돌하게 함으로써, 컴퓨터를 다운시키는 것에 의해 접속을 차단하는 방법이다.Here, the IP collision attack is a method of blocking the connection by bringing down the computer by causing the IP address of the client connected in an abnormal manner to collide with the same IP address.
또, 상기 RARP 서버는 RARP 서버로부터 실제 IP 획득부로 획득한 IP주소가 지역 네트워크 가입자인 클라이언트의 IP주소와 MAC주소가 상이하므로 네트워크를 통하여 인터넷에 접속할때 마다 변경되는 정보를 관리하기 위한 RARP 테이블을 만들고, MAC주소를 수신 IP주소와 대응할 수 있는 MAC 맵핑(mapping) 테이블을 작성하여 인터넷 망에 할당된 IP주소 범위내에 ARP전송부로 전송되는 과정을 연속적으로 반복하여 공인되지 않은 사설IP주소를 검증할 수 있도록 하는 불법공유 프로그램이 설치된 클라이언트의 사설DHCP 서버의 운용을 감시 및 차단하는 방법이다.In addition, the RARP server has a RARP table for managing the information that is changed every time the Internet access through the network because the IP address obtained from the RARP server to the actual IP obtainer is different from the IP address and MAC address of the client of the local network subscribers. Create a MAC mapping table that can map the MAC address to the receiving IP address, and verify the unauthorized private IP address by successively repeating the process sent to the ARP transmitter within the IP address range assigned to the Internet. This is a method to monitor and block the operation of a private DHCP server of a client with an illegal sharing program installed.
또한, 상기 DHCP 공격부에서는 검출된 사설DHCP 서버가 게이트웨이 주소에 대하여 ARP를 브로드케스팅(broadcasting)하고 공인되지 않은 사설DHCP 서버가 작동되면 이를 검출하여 허위응답으로 인해 사설DHCP 서버를 운용하는 불법공유 프로그램의 작동을 중지시켜 정상적인 클라이언트가 공인된 IP를 할당받아 인터넷 망에 접속하도록 하는 과정을 더 포함하여 이루어지는 불법공유 프로그램이 설치된 클라이언트의 사설DHCP 서버를 감시 및 차단하는 방법이다.In addition, the DHCP attacker detects when the detected private DHCP server broadcasts an ARP to a gateway address, and if an unauthorized private DHCP server is activated, detects it and operates a private DHCP server due to a false response. A method of monitoring and blocking a private DHCP server of a client with an illegal sharing program, which further includes a step of disabling the server to allow a normal client to be assigned an authorized IP to access the Internet.
여기서 주소결정 프로토콜 ARP(Address Resolution Protocol)는 예컨대, 클라이언트 'A'가 IP주소 157.80.84.3을 가진 클라이언트 'B'의 이더넷 주소를 알기 위해서는 우선 IP주소 157.80.84.3을 가진 클라이언트의 이더넷 어드레스는 무엇인가 라는 물음을 네트워크에 접속되어 있는 모든 클라이언트에 송신한다(broadcasting). 역순주소결정 프로토콜 RARP(Reverse Address Resolution Protocol)는 상기한 내용과 역의 방식이며, 그 후, IP주소 내부에 클라이언트 B의 IP주소와 이더넷 주소의 대응을 기억해서 송신에 이용할 수 있는 것이다. 즉, IP주소를 이용하여 MAC주소를 찾는 수단이고, RARP는 역ARP로서, 이더넷 주소를 IP주소로 변환하는 역할을 하며, MAC주소에서 IP주소를 얻기위한 방법이다. 그러므로, 공인되지 않은 클라이언트의 사설DHCP 서버 ARP에 대한 허위응답으로 네트워크 접속을 차단하게 한다.Here, the Address Resolution Protocol (ARP) address, for example, is to know the Ethernet address of the client with IP address 157.80.84.3 in order for client 'A' to know the Ethernet address of client 'B' with IP address 157.80.84.3. Is broadcast to all clients connected to the network. Reverse Address Resolution Protocol RARP (Reverse Address Resolution Protocol) is the reverse of the above description, after which the correspondence between the IP address of the client B and the Ethernet address can be stored in the IP address and used for transmission. In other words, it is a means of finding MAC address by using IP address, RARP is reverse ARP, which converts Ethernet address into IP address, and is a method for obtaining IP address from MAC address. Therefore, a false response to the private DHCP server ARP of an unauthorized client may cause the network connection to be blocked.
이하, 첨부한 도면을 참조하여 상기한 발명을 보다 상세히 설명한다.Hereinafter, the present invention will be described in more detail with reference to the accompanying drawings.
도 1은 불법공유 프로그램으로 구축된 사설DHCP 서버를 감시 및 차단하는 시스템을 연결한 구성을 나타낸 도이다.1 is a diagram illustrating a configuration in which a system for monitoring and blocking a private DHCP server constructed as an illegal sharing program is connected.
도시한 바와 같이 일반적으로 지역이나 구내에서 초고속 통신망을 분배하는 주배선반(MDF)(11) 서버(16)의 라우터(15) 또는 허브(14)에 접속되어 가입자인(12) 클라이언트에게 서비스를 제공한다. 가입자인 클라이언트(13)가 개인적으로 구내지역내에 불법공유 프로그램으로 구축한 사설DHCP 서버를 원격지에서 관리와 모니터링을 할 수 있는 시스템(10)이다. 여기서, 클라이언트가 개인적으로 구내지역내에 구축한 사설DHCP가 서버로 동작할 수 있는가 하는 문제이다. 종래 기술에 의하면, DHCP에는 예약 기능과 제외기능이 있어서 웹서버, 메일서버, 파일서버 등 충분히 가능하다고 하며, 또 가능하기 때문에 문제가 되는 것이다.As shown in the drawing, a router 15 or hub 14 of a main distribution board (MDF) 11 server 16, which distributes a high-speed communication network in a region or a premises, is generally connected to provide a service to a subscriber 12 client. do. It is a system 10 capable of remotely managing and monitoring a private DHCP server which a client 13 as a subscriber personally establishes as an illegal sharing program in the premises. Here, the question is whether the private DHCP which the client personally establishes in the premises can operate as a server. According to the prior art, DHCP has a reservation function and an exclusion function, which is sufficient for a web server, a mail server, a file server, etc., and is a problem because it is possible.
도 2는 상기한 시스템에 탑재되는 프로그램의 동작 구성을 나타낸 도이다.2 is a diagram illustrating an operation configuration of a program mounted in the above system.
크게 사설DHCP 감시부(100), 사설DHCP 공격부(200), RARP 서버(300)로 나눌 수 있고, OS(Operation System)부에서 구동하게 되며 LAN카드(500)에 접속되어 정보를 수신하는 패킷 수신부(400)와 상호 작용을 한다.It can be largely divided into a private DHCP monitoring unit 100, private DHCP attacking unit 200, RARP server 300, it is run in the OS (Operation System) unit and the packet is connected to the LAN card 500 to receive information Interact with the receiver 400.
사설DHCP 감시부(100)는 DHCP 제안(offer) 신호를 수신하여 검출된 DHCP 서버의 MAC(Media Access Control) 주소 획득부에서 클라이언트의 MAC주소를 RARP(Reverse Address Resolution Protocol) 서버로 전송을 하여 상기 RARP 서버(300)에서 상기 클라이언트의 MAC주소로 공격대상의 IP주소를 획득하고, 사설DHCP 공격부(200)는 상기 공인되지 않은 사설DHCP 서버 검출시 상기 사설DHCP 공격부(200)에서 등록되지 않은 사설IP주소를 차단할 수 있도록 IP 충돌공격을 하며 상기 공인되지 않은 사설DHCP 서버의 ARP(Address Resolution Protocol) 신호에 대한 허위응답으로 상기 검출된 사설DHCP 서버를 제거하며, RARP 서버(300)는 MAC주소를 수신 IP주소와 대응할 수 있는 MAC 맵핑(mapping) 테이블을 작성하여 인터넷 망에 할당된 IP주소 범위내에 ARP전송부로 전송되는 과정을 연속적으로 반복하여 공인되지 않은 사설IP주소를 검출할 수 있도록 한다.The private DHCP monitor 100 receives the DHCP offer signal and transmits the MAC address of the client to the Reverse Address Resolution Protocol (RARP) server in the MAC (Media Access Control) address acquisition unit of the detected DHCP server. RARP server 300 obtains the IP address of the attack target to the MAC address of the client, private DHCP attack unit 200 is not registered in the private DHCP attack unit 200 when detecting the unauthorized private DHCP server IP collision attack to block the private IP address and remove the detected private DHCP server as a false response to the ARP (Address Resolution Protocol) signal of the unauthorized private DHCP server, RARP server 300 is MAC address Unauthorized private I by repeatedly creating a MAC mapping table that can correspond to the receiving IP address and sending it to the ARP transmitter within the IP address range allocated to the Internet. P address can be detected.
도 3은 상기한 시스템이 사설DHCP 서버를 감시 및 차단하는 방법을 나타내는 플로우 차트이다.3 is a flow chart illustrating how the system monitors and blocks a private DHCP server.
처음에, DHCP 발견(discover) 신호를 전송한다(101). 다음에 DHCP 제안(offer) 신호를 수신한다(102). 다음에 검출된 DHCP 서버의 MAC주소를 검출한다(103). 다음에 MAC 맵핑(mapping) 테이블(303)을 작성하여 인터넷 망에 할당된 IP주소 범위내에 ARP전송부로 전송(302)되는 과정을 연속적으로 반복하여 RARP 테이블(301)을 작성하고 RARP 서버(300)로부터 실제 IP주소를 획득한다(104). 다음에 공인되지 않은 사설DHCP 서버를 검증 하고(105) 사설DHCP 서버가 검출되지 않으면 다시 처음으로 돌아가서 상기 과정을 반복하며 만약 사설DHCP 서버가 검출되면 IP충돌 공격으로 우선 차단을 한다(201). 다음에 사설DHCP 서버(미등록 서버)의 ARP 신호에 대한 허위 응답을 한다(202). 마지막으로 사설DHCP 서버의 제거를 확인하고(203) 제거가 확인되었으면 다시 처음으로 돌아가서 상기 과정을 반복하고 만약 사설DHCP 서버가 완전하게 제거되지 않은 상태라면, 다음에 사설DHCP 서버는 게이트웨이 주소에 대하여 ARP를 브로드케스팅하게 되고(204), 상기와 같은 방법으로 사설DHCP 서버(사설IP)를 검출하여(205) ARP 신호에 대한 허위응답을 하여(206) 불법공유 프로그램의 작동을 중지시킨다(207).Initially, it transmits a DHCP discovery signal (101). Next, a DHCP offer signal is received (102). Next, the MAC address of the detected DHCP server is detected (103). Next, the MAC mapping table 303 is created, and the process of sequentially transmitting 302 to the ARP transmitter within the IP address range allocated to the Internet network is repeated to create the RARP table 301 and the RARP server 300 Obtain the actual IP address from the 104. Next, if the private DHCP server is not recognized (105), if the private DHCP server is not detected, the process returns to the beginning again and repeats the above process. If the private DHCP server is detected, the IP collision attack is first blocked (201). Next, a false response is made to the ARP signal of the private DHCP server (unregistered server) (202). Finally, confirm the removal of the private DHCP server (203), and if the removal is confirmed, go back to the beginning and repeat the above procedure. If the private DHCP server is not completely removed, then the private DHCP server will ARP for the gateway address. In step 204, the private DHCP server (private IP) is detected in the same manner as described above (205) and a false response to the ARP signal (206) is stopped (207).
여기서, 사이게이트(SyGate) DHCP서버는 사이게이트 컨피그레이션(Configration)에서 설정되어 있는 게이트웨이 주소를 다른 시스템에서 사용하고 있는 지를 체크하기 위하여 ARP를 전송하여 확인을 하는데, 이때 본 시스템에서는 이에 대응하는 허위응답을 하여 사이게이트 DHCP서버가 동작하지 못하도록 한다.Here, the SyGate DHCP server checks by sending an ARP to check whether the gateway address set in the Sygate configuration is used by another system. Disable the Sygate DHCP server.
상기와 같이 본 발명은 네트워크 즉, 초고속 인터넷 망에서 불법공유 프로그램을 이용한 사설DHCP 서버의 구축을 차단하고, 정상적인 가입자에게 보다 상질의 서비스를 제공할 수 있으며, 빈번하게 발생되는 장애로 인한 관리의 비용을 획기적으로 절감하여 대 고객 서비스의 품질향상에 뛰어난 효과가 있다.As described above, the present invention blocks the construction of a private DHCP server using an illegal sharing program in a network, that is, a high-speed Internet network, can provide a higher-quality service to a normal subscriber, and the cost of management due to frequent failures. This drastically lowers the cost and improves the quality of customer service.
또, 본 발명은 랙 타입(RACK TYPE)서버나 서버관리 장치에 사설IP 감시 및 차단부를 구현하여 어떠한 네트워크에서도 불법공유 프로그램을 이용하는 사용자를 검출 및 차단은 물론 IP역류 방지에도 효과가 있다.In addition, the present invention implements a private IP monitoring and blocking unit in a rack type server or a server management device to detect and block a user using an illegal sharing program in any network as well as to prevent IP backflow.
Claims (4)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR10-2002-0008432A KR100437726B1 (en) | 2002-02-18 | 2002-02-18 | The System for Monitering and Breaking a Private DHCP Server and The same Method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR10-2002-0008432A KR100437726B1 (en) | 2002-02-18 | 2002-02-18 | The System for Monitering and Breaking a Private DHCP Server and The same Method |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| KR20020036973A KR20020036973A (en) | 2002-05-17 |
| KR100437726B1 true KR100437726B1 (en) | 2004-06-30 |
Family
ID=19719287
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR10-2002-0008432A Expired - Fee Related KR100437726B1 (en) | 2002-02-18 | 2002-02-18 | The System for Monitering and Breaking a Private DHCP Server and The same Method |
Country Status (1)
| Country | Link |
|---|---|
| KR (1) | KR100437726B1 (en) |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR100470422B1 (en) * | 2002-03-05 | 2005-02-05 | 주식회사 프리컴시스템 | Illegal dhcp server control method |
| KR100900149B1 (en) * | 2002-06-27 | 2009-05-28 | 주식회사 케이티 | Broadcast frame processing method to block IP allocation from private DHC server |
| CN100349409C (en) * | 2004-01-15 | 2007-11-14 | 中兴通讯股份有限公司 | Method for preventing address-depletion attack |
| KR100779072B1 (en) * | 2004-12-08 | 2007-11-27 | 한국전자통신연구원 | ARP poisoning detection apparatus and method |
| CN101119371B (en) * | 2007-08-28 | 2011-06-29 | 杭州华三通信技术有限公司 | Method, client, server and system for preventing network attack by using ARP |
| CN117082031A (en) * | 2023-09-01 | 2023-11-17 | 深信服科技股份有限公司 | Server isolation method and related devices |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001036561A (en) * | 1999-07-15 | 2001-02-09 | Shin Maruyama | TCP / IP network system |
| JP2001077815A (en) * | 1999-07-29 | 2001-03-23 | Internatl Business Mach Corp <Ibm> | Method for supervising dhcp server |
| JP2001211180A (en) * | 2000-01-26 | 2001-08-03 | Nec Commun Syst Ltd | DHCP server with client authentication function and its authentication method |
| KR20010088983A (en) * | 2001-08-30 | 2001-09-29 | 허기행 | The method to apply network policy and to prevent the cracking or hacking for the network client group using floating IP adress |
| KR20030022534A (en) * | 2001-09-11 | 2003-03-17 | 플러스기술주식회사 | System and method for preventing non-certified users from connecting to the internet and network, by using DHCP |
| KR20030027538A (en) * | 2001-09-29 | 2003-04-07 | 주식회사 케이티 | Method and apparatus for limiting access of subscriber line for dynamic internet protocol address service |
-
2002
- 2002-02-18 KR KR10-2002-0008432A patent/KR100437726B1/en not_active Expired - Fee Related
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001036561A (en) * | 1999-07-15 | 2001-02-09 | Shin Maruyama | TCP / IP network system |
| JP2001077815A (en) * | 1999-07-29 | 2001-03-23 | Internatl Business Mach Corp <Ibm> | Method for supervising dhcp server |
| JP2001211180A (en) * | 2000-01-26 | 2001-08-03 | Nec Commun Syst Ltd | DHCP server with client authentication function and its authentication method |
| KR20010088983A (en) * | 2001-08-30 | 2001-09-29 | 허기행 | The method to apply network policy and to prevent the cracking or hacking for the network client group using floating IP adress |
| KR20030022534A (en) * | 2001-09-11 | 2003-03-17 | 플러스기술주식회사 | System and method for preventing non-certified users from connecting to the internet and network, by using DHCP |
| KR20030027538A (en) * | 2001-09-29 | 2003-04-07 | 주식회사 케이티 | Method and apparatus for limiting access of subscriber line for dynamic internet protocol address service |
Also Published As
| Publication number | Publication date |
|---|---|
| KR20020036973A (en) | 2002-05-17 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US5884024A (en) | Secure DHCP server | |
| EP1125423B1 (en) | Digital network modem with an integrated dhcp server | |
| KR100992968B1 (en) | Network switch and address conflict prevention method | |
| EP1042877B1 (en) | Method and system for automatic allocation of resources in a network | |
| US7711826B2 (en) | Remote survivable DHCP for a DHCP relay agent | |
| US8125915B2 (en) | Remote management of a bridge device | |
| EP1089524A2 (en) | System for supporting multiple Internet service providers on a single network | |
| JP4664143B2 (en) | Packet transfer apparatus, communication network, and packet transfer method | |
| WO2001014988A1 (en) | Technique for automatic remote media access control (mac) layer address resolution | |
| CN110445889B (en) | A method and system for managing IP addresses of switches in an Ethernet environment | |
| JP3420512B2 (en) | Dynamic domain name system | |
| US6651092B1 (en) | Cable modem system | |
| CN111683162B (en) | IP address management method based on flow identification | |
| KR100437726B1 (en) | The System for Monitering and Breaking a Private DHCP Server and The same Method | |
| WO2001014989A1 (en) | Architecture for a network management service which identifies and locates users and/or devices within an enterprise network | |
| CN113556337A (en) | Terminal address identification method, network system, electronic device and storage medium | |
| KR100807933B1 (en) | ALP spoofing detection system and detection method and computer readable storage medium storing the method | |
| KR100470422B1 (en) | Illegal dhcp server control method | |
| US20030041120A1 (en) | Network blocking device for paid Internet services | |
| US7130996B2 (en) | Method and system for restricting DHCP servers | |
| KR100591554B1 (en) | Communication Control Method According to Network Resource Management Policy | |
| KR100513296B1 (en) | Apparatus, system and method for controlling network access | |
| WO2000044132A2 (en) | Secure and efficient address resolution for client stations connected over wide area network links to ip networks such as the internet | |
| KR100452158B1 (en) | Internet Access Device with MAC-Address- Translation Ethernet Switching Functionalities And Multi Tenant Premises Communications Management Server Interoperating with The Aforementioned IAD And a Method for Enhancing Subscriber Identification And Network Security And Service Quality for Multi-Tenant Premises Subscribers Where Internet Connectivity Is Provided on The Complex LAN, utilizing the Aforementioned | |
| Dai et al. | A new method to detect abnormal IP address on DHCP |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A201 | Request for examination | ||
| PA0109 | Patent application |
St.27 status event code: A-0-1-A10-A12-nap-PA0109 |
|
| PA0201 | Request for examination |
St.27 status event code: A-1-2-D10-D11-exm-PA0201 |
|
| P11-X000 | Amendment of application requested |
St.27 status event code: A-2-2-P10-P11-nap-X000 |
|
| P13-X000 | Application amended |
St.27 status event code: A-2-2-P10-P13-nap-X000 |
|
| R15-X000 | Change to inventor requested |
St.27 status event code: A-3-3-R10-R15-oth-X000 |
|
| R16-X000 | Change to inventor recorded |
St.27 status event code: A-3-3-R10-R16-oth-X000 |
|
| P11-X000 | Amendment of application requested |
St.27 status event code: A-2-2-P10-P11-nap-X000 |
|
| P13-X000 | Application amended |
St.27 status event code: A-2-2-P10-P13-nap-X000 |
|
| G15R | Request for early publication | ||
| PG1501 | Laying open of application |
St.27 status event code: A-1-1-Q10-Q12-nap-PG1501 |
|
| D13-X000 | Search requested |
St.27 status event code: A-1-2-D10-D13-srh-X000 |
|
| D14-X000 | Search report completed |
St.27 status event code: A-1-2-D10-D14-srh-X000 |
|
| E701 | Decision to grant or registration of patent right | ||
| PE0701 | Decision of registration |
St.27 status event code: A-1-2-D10-D22-exm-PE0701 |
|
| GRNT | Written decision to grant | ||
| PR0701 | Registration of establishment |
St.27 status event code: A-2-4-F10-F11-exm-PR0701 |
|
| PR1002 | Payment of registration fee |
St.27 status event code: A-2-2-U10-U11-oth-PR1002 Fee payment year number: 1 |
|
| PG1601 | Publication of registration |
St.27 status event code: A-4-4-Q10-Q13-nap-PG1601 |
|
| R18-X000 | Changes to party contact information recorded |
St.27 status event code: A-5-5-R10-R18-oth-X000 |
|
| R18-X000 | Changes to party contact information recorded |
St.27 status event code: A-5-5-R10-R18-oth-X000 |
|
| PR1001 | Payment of annual fee |
St.27 status event code: A-4-4-U10-U11-oth-PR1001 Fee payment year number: 4 |
|
| R18-X000 | Changes to party contact information recorded |
St.27 status event code: A-5-5-R10-R18-oth-X000 |
|
| FPAY | Annual fee payment |
Payment date: 20080617 Year of fee payment: 5 |
|
| PR1001 | Payment of annual fee |
St.27 status event code: A-4-4-U10-U11-oth-PR1001 Fee payment year number: 5 |
|
| LAPS | Lapse due to unpaid annual fee | ||
| PC1903 | Unpaid annual fee |
St.27 status event code: A-4-4-U10-U13-oth-PC1903 Not in force date: 20090618 Payment event data comment text: Termination Category : DEFAULT_OF_REGISTRATION_FEE |
|
| R18-X000 | Changes to party contact information recorded |
St.27 status event code: A-5-5-R10-R18-oth-X000 |
|
| PC1903 | Unpaid annual fee |
St.27 status event code: N-4-6-H10-H13-oth-PC1903 Ip right cessation event data comment text: Termination Category : DEFAULT_OF_REGISTRATION_FEE Not in force date: 20090618 |
|
| R18-X000 | Changes to party contact information recorded |
St.27 status event code: A-5-5-R10-R18-oth-X000 |
|
| R18-X000 | Changes to party contact information recorded |
St.27 status event code: A-5-5-R10-R18-oth-X000 |
|
| PN2301 | Change of applicant |
St.27 status event code: A-5-5-R10-R13-asn-PN2301 St.27 status event code: A-5-5-R10-R11-asn-PN2301 |
|
| R18-X000 | Changes to party contact information recorded |
St.27 status event code: A-5-5-R10-R18-oth-X000 |
|
| P22-X000 | Classification modified |
St.27 status event code: A-4-4-P10-P22-nap-X000 |
|
| P22-X000 | Classification modified |
St.27 status event code: A-4-4-P10-P22-nap-X000 |