NAT एक फ़ायरवॉल नहीं है, चलो एक बार फिर दोहराते हैं

चित्र को देखो। यह है कि क्लासिक नेट को सिस्को राउटर पर कैसे कॉन्फ़िगर किया गया है, उदाहरण के लिए, वहां कुछ और कॉन्फ़िगर नहीं किया गया है। अब अपने खुद के सवाल का जवाब दें। कुछ शर्तों के तहत, क्या कोई सुपर सीक्रेट सर्वर 192.168.0.250 के आरडीपी पोर्ट (टीसीपी 3389) को बाहर से एक्सेस कर सकता है और इसके लिए पासवर्ड प्राप्त करने की कोशिश कर सकता है। हम स्पष्ट करेंगे कि सर्वर नेटवर्क पर अकेला है और कहीं भी नहीं जाता है (इसका अर्थ है कि ट्रोजन, स्वचालित अपडेट और अन्य सुविधाएं नहीं हैं)।

क्या आपको नहीं लगता? मजाक को याद करें।

दार्शनिकता पर व्याख्यान। एक पुराने प्रोफेसर कहते हैं:

- दुनिया की कुछ भाषाओं में, डबल नकार का मतलब सहमति है। दूसरों में, दोहरी उपेक्षा नकारात्मक बनी हुई है। लेकिन, दुनिया में एक भी भाषा ऐसी नहीं है जिसमें दोहरी सहमति का मतलब इनकार हो। पीछे से आवाज:

"ठीक है, हाँ, बिल्कुल, प्रोफेसर।"

क्यों नहीं?

CCNP स्तर वाला एक बुद्धिमान नेटवर्क इंजीनियर तुरंत "नहीं" का जवाब देगा और इसे इस प्रकार औचित्य देगा। NAT के लिए होस्ट के साथ डेटा का आदान-प्रदान करने के लिए, यह आवश्यक है कि NAT में अनुवाद बनाया जाए। एनएटी, नेटवर्क के संदर्भ में, एक आंतरिक से मेजबान द्वारा प्रसारण निर्माण शुरू किया जाता है। टीसीपी पोर्ट 3389 पर सर्वर एप्लिकेशन कहीं भी नहीं जाएगा, यही कारण है कि यह सर्वर-साइड है, इसलिए प्रसारण कभी भी नहीं बनाया जाएगा, और कोई भी अंदर क्रॉल नहीं करेगा। इंजीनियर सही होगा। हालांकि, यह ध्यान नहीं रखता है कि इस कॉन्फ़िगरेशन से NAT के लिए होस्ट को बाहर से एक्सेस करना संभव है, और उसके बाद एक अनुवाद बनाया जाएगा जिसके माध्यम से सर्वर डेटा संचारित करेगा।

क्यों हाँ?

सैद्धांतिक रूप से, सब कुछ सरल है। इस बारे में सोचें कि यदि आपके राउटर B पर प्रदाता इस मार्ग को लिखता है तो क्या होगा:
आईपी ​​मार्ग 192.168.0.0 255.255.255.0 2.2.2.2
और निम्नलिखित होगा। किसी भी प्रदाता का ग्राहक IP 192.168.0.250 पोर्ट 3389 पर एक टीसीपी पैकेट भेज सकता है। प्रदाता के राउटिंग टेबल के अनुसार, यह पैकेट राउटर ए के FE0 / 0 इंटरफेस तक पहुंचाया जाएगा। राउटर A इसके साथ क्या करेगा? सभी राउटर 192.168.0.250 होस्ट करने के लिए रूट कर रहे हैं। प्रतिक्रिया में सर्वर 192.168.0.250 मूल पैकेट में आए स्रोत के आईपी पते पर एक पैकेट भेजेगा। राउटर ए एक प्रसारण बनाएगा जिसके माध्यम से डेटा मूल पैकेट के मेजबान स्रोत को प्रेषित किया जाएगा।

और यहां मुश्किलें हैं। वे इस तथ्य से जुड़े हैं कि पैकेट आईपी पते 192.168.0.250 पोर्ट 3389 पर जाता है, और यह 2.2.2.2 पते से लौटा है और पोर्ट 3389 जरूरी नहीं है। आप मुझ पर विश्वास नहीं कर सकते हैं, लेकिन अगर हमलावर अपने डायवर्ट सॉकेट, पर्ल के साथ फ्रीबीएसडी है। खैर, कल्पना और समझ कैसे टीसीपी / आईपी प्रोटोकॉल काम करते हैं, कुछ भी असंभव नहीं है और आप एक दिन के भीतर हमले के सर्वर के टर्मिनल तक पहुंच सकते हैं।

इसके बारे में थोड़ा और बात करते हैं

जब मैंने प्रदाता के लिए काम करने वाले दोस्त पर इस तरह के हमले के बारे में बात की, तो उसने मुझसे एक उचित सवाल पूछा - लेकिन आप मुझे कम से कम एक प्रदाता बताएं जो ऐसी चीजों से निपटेगा? मैं खुद एक प्रदाता के साथ काम करता था और मुझे पता है कि नहीं, लेकिन मैंने एक सवाल का जवाब दिया - क्या आप जानते हैं कि स्रोत रूटिंग क्या है और यह सिस्को राउटर पर डिफ़ॉल्ट रूप से अक्षम नहीं है? क्या आप इसे बंद कर देते हैं?
स्रोत रूटिंग का उपयोग करते समय, हमला बहुत जटिल नहीं है, बस जोड़ दें, जहां तक ​​मुझे याद है, आईपी पैकेट विकल्पों में 5 बाइट्स।

निष्कर्ष

हो सकता है कि पोस्ट उत्तेजक है, लेकिन मुझे पता है कि अधिकांश नेटवर्कर्स इस तरह के हमले के बारे में नहीं जानते हैं और NAT का उपयोग करते समय कभी भी फ़ायरवॉल को कॉन्फ़िगर नहीं करेंगे। शायद, इस पोस्ट को पढ़ने के बाद, कोई व्यक्ति नेटवर्क की सुरक्षा के लिए सभी सिफारिशों का पालन करना शुरू कर देगा, मेरा विश्वास करो, वे सिर्फ लिखित नहीं हैं ...