Возможность Dos-атаки с использованием IP-дейтаграмм и TTL
Итак, недавно я узнал обо всей IP-дейтаграмме и ее заголовках. Мы узнали о поле TTL, которое существует потому, что иногда пакет с определенным идентификатором сети будет отправлен на другой маршрутизатор, но на другом маршрутизаторе он будет отправлен обратно на первый маршрутизатор, что приведет к бесконечному циклу, который создает нагрузку на система. поэтому TTL предназначен для ограничения количества раз, когда пакет может передаваться, тем самым завершая цикл.
Итак, мне пришло в голову, что вы можете отправить маршрутизатору, который имеет кольцевое соединение с другим, дейтаграмму с TTL, установленным на 256, что означает, что каждый маршрутизатор обрабатывает запрос 256 раз (отправляя и получая его) за каждый раз, когда вы обработать его, что делает очень простой Dos-атаку, поскольку маршрутизатор потребляет в 256 раз больше вычислительной мощности, чем вы, что упрощает отправку большого количества пакетов, перегружающих систему.
Вот я и понял, что кто-то наверняка подумал об этом раньше меня, и задался вопросом, что мешает этому случиться? есть ли функция, которая останавливает это? может какой-то защитный механизм? Я попробовал погуглить, но не смог найти подходящего слова. Спасибо!
2 ответа
Вот я и понял, что кто-то наверняка подумал об этом раньше меня, и задался вопросом, что мешает этому случиться? есть ли функция, которая останавливает это? может какой-то защитный механизм?
Да, обычно этого можно избежать, если вообще не создавать петли маршрутизации . Это не то, что вы увидите при нормальной работе. Протоколы автоматической маршрутизации (такие как OSPF или BGP) созданы специально для создания сети без петель.
Петли действительно случаются, и такие DoS-атаки вызывают беспокойство (особенно при неиспользуемых сетевых диапазонах очень легко создать петлю маршрутизации, которая остается незамеченной), но основным средством смягчения последствий является исправление конфигурации, чтобы петля маршрутизации полностью удалялась, а не тратить зря. ресурсы на комплексную защиту.
(Например, маршрутизаторы часто используют каналы «точка-точка» между собой. Можно настроить канал на использование /24 или аналогичной маски подсети, которая будет работать нормально, но – как только из этого / появится неиспользуемый адрес / 24, оба маршрутизатора будут пересылать пакет с одного конца канала на другой.Общим решением проблемы является изменение сетевой маски на минимально возможную, то есть /31 или /127, чтобы ни один адрес не оставался неиспользованным и цикл маршрутизации исчез. .
В качестве другого примера предположим, что у вас есть маршрутизатор A с широким «агрегированным» маршрутом целого /16 к маршрутизатору B, но маршрутизатор B распознает только несколько меньших диапазонов, в то время как все остальное идет по маршруту по умолчанию обратно к маршрутизатору A. другими словами, используемые подсети работают прекрасно, а те, которые не используются, представляют собой цикл, ожидающий срабатывания. Смягчением снова является полное удаление петли, что можно сделать, просто добавив маршрут «отбрасывания» для всего /16 на маршрутизаторе B.)
Время жизни , равное 255, не приводит к отправке сообщения 255 раз. Это означает лишь то, что датаграмма будет пересылаться по маршруту, максимальная длина которого составляет 255 прыжков.
Каждый маршрутизатор на маршруте получит дейтаграмму один раз и отправит ее только один раз, уменьшая при этом счетчик. Как только номер 255 будет исчерпан или маршрут прекратится, исходному отправителю будет отправлено сообщение об ошибке.
TTL нельзя использовать для создания атаки типа «отказ в обслуживании» .