답변:
사람들이 IP 헤더를 수정하고 소스 IP 주소를 변경할 수 있다는 것을 알고 있지만 네트워크 장치가 이러한 메시지를 감지하는 것은 간단해야합니다.
상용 네트워크 장비에서 헤더의 가짜 IP 소스 주소를 감지하고 차단할 수 있습니다. 다른 가짜 IPv4 헤더는 식별하기가 조금 더 어려울 수 있습니다. 대부분의 사람들은 생략한다 "유니 캐스트 리버스 경로 포워딩"가짜 소스 IP 주소를 감지하는 기능을 참조 가능한 uRPF을 ; uRPF 는 RFC 3704에 정의되어 있으며 인터넷 Best Current Practice로 간주됩니다 . 고객 전제 장비의 첫 번째 라우터 또는 회사 네트워크의 에지 라우터에 uRPF 를 적용해야합니다.
그렇지 않은 경우 왜 그렇게 어렵습니까? 오버 헤드가 너무 많습니까?
라우터가 CPU 기반 라우터가 아닌 한 성능 저하가 없습니다. ISP가 사용하는 많은 라우터 / 스위치는이 기능을 하드웨어의 ASIC에 내장합니다. 일반적으로 전원을 켜면 성능이 크게 저하되지 않습니다. 때로는 기능 충돌이 발생하지만 대부분의 경우 큰 문제가 아닙니다.
ISP 엔지니어링 / 운영 요원의 정책과 역량은 다양하며 많은 ISP (특히 소규모 국가)는 일을 "일하기"로 바쁘기 때문에 일을 잘 수행하기위한주기가 없습니다.
소스 IP 주소 변경을 방지하려면 ACL (액세스 목록) 또는 uRPF (유니 캐스트 역방향 경로 필터링)가 필요합니다.
둘 다 무료로 오지 마십시오. uRPF는 일반적으로 추가 조회 또는보다 복잡한 단일 조회가 필요하므로 일부 플랫폼에서 조회 성능이 절반으로 떨어질 수 있습니다. ACL은 조회 속도를 저하시키고 메모리를 사용합니다.
uRPF는 유지 보수가 필요 없으므로 한 번만 구성하고 잊어 버립니다. ACL은 어떤 주소가 인터페이스 뒤에 있는지 알고 ACL이 최신 상태를 유지하는 시스템을 필요로합니다.
uRPF보다 ACL이 더 광범위하게 지원되는 uRPF는 L3 스위치 레벨 장치에서 비교적 드문 기능입니다. '실제'라우터에서는 일반적으로 두 기능을 모두 사용할 수 있습니다.
두 기능을 모두 사용할 수 있더라도 네트워크의 잘못된 위치에 uRPF를 구성하면 네트워크가 중단 될 수 있습니다. 플랫폼 별 ACL 제한을 이해하지 못하면 중단 될 수 있습니다.
일반적으로 자신은 소스 주소 스푸핑을 방지하는 데 도움이되지 않으며 대부분 인터넷의 혜택을받는 사람입니다. 당신은 물건을 깨뜨리는 결과를 낳을 수 있기 때문에 위험을 무릅 쓰지 않습니다. 그리고 고객은 아무런 이익을 얻지 못할 것입니다. 보상은 낮습니다.
책임있는 서비스 제공 업체가해야 할 일이 옳기 때문에이를 수행하지만, 상당수의 액세스 장치가 배포되면 안티 스푸핑이 발생할 것으로 예상하는 것은 비현실적입니다. 훨씬 더 현실적인 목표는 IP 전송 연결에서 ACL을 수행하는 경우 약 6000 개 정도의 불완전한 AS 번호 만 있기 때문입니다.
이것이 문제가되는 이유는 들어오는 쿼리가 나가는 응답보다 커지기 때문에 QUIC 및 MinimaLT와 같은 프로토콜에 의해 수정 될 수있는 UDP 반사 공격으로 인해 반사가 이득을 갖지 않기 때문에 스푸핑의 이점을 잃게됩니다.
최근에는 UDP 리플렉션을 DDoS 공격으로 사용하는 것이 매우 인기가 있습니다. 소비자 CPE 장치에는 소비자가 알지 못하는 개방형 DNS 서버가 많이 있으므로 홈 연결이 공격을 반영하는 데 사용되어 혼잡하여 소비자가 어려움을 겪습니다. 또한 수십 바이트의 작은 쿼리로 수천 바이트 이상의 큰 응답을 얻을 수있는 상당한 증폭을 얻는 쉬운 방법입니다. 초당 수백 기가비트 인 DDoS 공격이 반영되었으며, 일요일 밤에는 고객 중 한 명에게 43Gbps 공격을 전송했습니다.
인터넷 라우팅은 비대칭 적이기 때문에 소스 주소 필터링은 현실에서 사소한 것이 아니기 때문에 원칙적으로이 소스의 패킷이이 수신 인터페이스에 나타날지 여부에 대한 교육 된 추측이 필요합니다.
거의 모든 경우에 적용되는 모든 규칙에 대해 비즈니스에 적합한 유스 케이스가 있기 때문에 쉬운 공식은 없습니다.
역방향 경로 필터링은 "내부"및 "외부"에 대한 명확한 정의가있는 에지 라우터에서 잘 작동합니다. 외부인이 "내부"주소를 사용하거나 그 반대의 경우도 허용하지 않습니다. 중복성을 위해 다중 에지 라우터를 사용하기 시작하면 더 복잡해집니다.
백본 라우터의 경우 역방향 경로 필터링을 구현할 수있는 유일한 방법은 피어가 작업 경로를 발표 할 때 들어오는 패킷을 허용하는 것입니다 (우리의 선호 여부에 관계없이). 그것은 엄청나게 긴 조회, 쉽게 우회하고 내가 의도적으로 대중 교통을 구매하지만 그 접두사를 그 링크 아래로 알리지 않는 유스 케이스를 깨뜨릴 것입니다.