TP-Link DoS блокирует защиту Bonjour
У нас есть офис, ориентированный на Apple, и поэтому мы полагаемся на Bonjour (mDNS) для автоматического обнаружения таких вещей, как принтеры, целевые объекты AirPlay и псевдосерверы (например, для обмена файлами между настольными компьютерами).
Я только что установил коммутатор TP-Link T1600G L2+ в качестве основного коммутатора, чтобы помочь в управлении сетью, поскольку мы поддерживаем IPv6 и распространение подключенных к Интернету устройств. (В конечном итоге я хочу, чтобы гости могли войти в наш Wi-Fi, получить доступ к Интернету, а также получить доступ к Apple TV/AirPlay в наших конференц-залах, но не получить доступ к каким-либо другим нашим внутренним ресурсам, например, но я понимаю, что это возьмите полный маршрутизатор 3-го уровня (по порядку), и это будет другой пост, если у меня возникнут проблемы.)
Сейчас я только что установил T1600G, подключил к нему маршрутизатор WAN / сервер NAT/DHCP, все наши немые коммутаторы L2 и беспроводные точки доступа, наши главные серверы и наши устройства IoT (намереваясь позже изолировать точки доступа и IoT через VLAN).). Но я даже не дошел до настройки VLAN и уже что-то сломал.
В частности, я обнаружил, что включение защиты T1600G "DoS Defend", версия прошивки "1.0.3 Build 20160412 Rel.43154(s)" как-то блокирует Bonjour, но я не могу понять, как, почему и что делать делать с этим (кроме как отключить защиту DoS). Я даже не уверен, как диагностировать проблему, потому что я не знаю, как заставить рекламу Bonjour быть выпущенным.
Есть ли что-то в многоадресной рассылке IPv6, которая выглядит как DoS-атака IPv4?
Обновить
Я позвонил в службу технической поддержки TP-Link. Они не знали, что такое Бонжур, и были одержимы мной.
1 ответ
Проблема заключалась в фильтре "Blat Attack". Blat Attack - это специализация "Land Attack", но каким-то образом фильтр развился только для проверки специализации, а не полной атаки. В деталях...
"Наземная атака" - это когда злоумышленник отправляет поддельный пакет TCP SYN, содержащий IP-адрес жертвы в качестве IP-адреса назначения и источника. Уязвимая система в конечном итоге отвечает сама себе в цикле обратной связи. "Blat Attack" - это "улучшение" Land Attack, добавляющее, что порты источника и назначения идентичны, и иногда также использующее флаг URG.
Ну, где-то на линии кто-то подумал, что посылать IP-пакет с одним и тем же портом отправителя и получателя всегда вредно, поэтому защита от Blat Attack просто блокирует любой IP-пакет с одинаковым портом отправителя и получателя, даже если абсолютно ничего не существует. что-то не так, если адреса отправителя и получателя разные.
Bonjour (mDNS) отправляет объявления как на один и тот же порт (5353), так и защита Blat Attack останавливает пересылку этих пакетов. Поскольку фильтр Blat Attack действительно бесполезен в своей текущей реализации (в любом случае Blat Attacks будет остановлен фильтром Land Attack), нет причины не отключать его, поэтому я это сделал, и это решило проблему.