uRPF (डेटा प्लेन का एंटी-स्पूफिंग प्रोटेक्शन)

शुभ दोपहर, सम्मानित समुदाय।

SECURE परीक्षा (642-637) की तैयारी में, मैं uRPF (यूनिकैस्ट रिवर्स पाथ फ़ॉरवर्डिंग) तकनीक के बारे में बात करना चाहूँगा।

यह तकनीक ओएसआई मॉडल के तीसरे स्तर पर एक एंटीस्पोफिंग उपकरण है, और इसका उपयोग डेटा विमान की सुरक्षा के लिए प्रौद्योगिकियों में से एक के रूप में किया जाता है। अधिक सटीक रूप से, यह आपको रूटर इंटरफेस में आने वाले पैकेट में प्रेषक के आईपी पते के मिथ्याकरण का मुकाबला करने की अनुमति देता है। आखिरकार, एक हमलावर भेजे गए पैकेट में किसी अन्य नेटवर्क से चोरी किए गए आईपी पते का उपयोग कर सकता है, या विशिष्ट उपयोग के लिए आवंटित सीमा से एक गलत आईपी पता, उदाहरण के लिए 127.0.0.0/8।



व्यापक विरोधी स्पूफिंग सुरक्षा को लागू करते समय, इसका उपयोग करने की सिफारिश की जाती है:

• आईपी ​​सोर्स गार्ड - यह तकनीक केवल आईपी पते से पैकेट भेजने की अनुमति देती है जो डीएचसीपी के माध्यम से स्विच पोर्ट से जुड़े डिवाइस को जारी किया गया था।
• यह भी "कोई आईपी स्रोत-मार्ग" आदेश का उपयोग कर उपकरणों पर स्रोत से मार्ग की क्षमता को अक्षम करने के लिए अनुशंसित है
• पहुंच और वितरण के स्तर पर, ACLs का उपयोग करें जो स्पूफ किए गए पैकेट को फ़िल्टर करेगा।
• यूआरपीएफ को उपयोग और वितरण स्तरों पर उपयोग के लिए अनुशंसित किया जाता है।

अब uRPF तकनीक के बारे में अधिक जानकारी। इंटरफ़ेस पर uRPF को सक्षम करके, यह स्वचालित रूप से CEF FIB से डेटा के साथ पैकेट भेजने वाले के आईपी पते की जांच करेगा। यह निम्नानुसार है कि सीईएफ का उपयोग अनिवार्य है। इस मामले में, हम इस तथ्य पर भरोसा करते हैं कि आरआईबी और, तदनुसार, एफआईबी में केवल सही रूटिंग जानकारी है।

दो प्रकार के uRPF हैं: ढीले और सख्त।

यदि कोई पैकेट लॉज़ uRPF के साथ इंटरफेस में आता है तो कॉन्फ़िगर किया गया है, तो यह जांच करेगा कि क्या ऐसे नेटवर्क के बारे में FIB में कोई प्रविष्टि है, जिसमें प्रेषक का IP पता सदस्य है। यदि ऐसा कोई रिकॉर्ड नहीं है, तो पैकेट को हटा दिया जाएगा, अन्यथा पैकेट FIB के अनुसार पुनर्निर्देशित किया जाएगा।
यदि पैकेट कॉन्फ़िगर किए गए सख्त uRPF के साथ इंटरफेस में आता है, तो प्रेषक के आईपी पते को फिर से जांचा जाएगा, और अगर वह इंटरफ़ेस जो पैकेट आया है, तो वह एफआईबी में प्रविष्टि से मेल नहीं खाता है (उदाहरण के लिए, ऐसा प्रेषक प्रत्येक इंटरफ़ेस के साथ है), पैकेट हटा दिया जाएगा। अन्यथा, यह एफआईबी में प्रविष्टि के अनुसार पुनर्निर्देशित किया जाएगा।

कॉन्फ़िगरेशन उदाहरण, सामान्य टोपोलॉजी जानकारी:




पहले आपको यह सुनिश्चित करने की आवश्यकता है कि सीईएफ सक्षम है, या आईपी ​​सीएफ कमांड का उपयोग करके इसे सक्षम करें।


प्राथमिक कॉन्फ़िगरेशन:


" आईपी ​​unicast source रीएचेस्ट-थ्रू rx allow-default allow-self-ping " को वेरिफाई करता है, " ip वेरिकटेड यूनिकैस्ट सोर्स रिक्लेस्ट-थ्रू rx " कमांड के मुख्य भाग में रूट किए गए पोर्ट पर सख्त uRPF शामिल है, जो अब Fa0 / 0 इंटरफ़ेस पर आने वाला पैकेट होगा। जाँच की जाती है कि प्रेषक का IP पता वास्तव में FIB में है या नहीं, यह उस इंटरफ़ेस के माध्यम से पहुँचा जा सकता है जिसमें पैकेट पहुँचा है, इसे पुनर्निर्देशित किया जाएगा, अन्यथा इसे हटा दिया जाएगा। अनुमति-डिफ़ॉल्ट तर्क निर्दिष्ट करता है कि इस इंटरफ़ेस के माध्यम से एक डिफ़ॉल्ट मार्ग उपलब्ध है। इसका मतलब है कि इस इंटरफ़ेस में प्रवेश करने वाले पैकेट में उन नेटवर्क को छोड़कर कोई भी प्रेषक आईपी पता हो सकता है जो अन्य इंटरफेस के माध्यम से एफआईबी के माध्यम से सुलभ हों। तर्क " अनुमति-स्व-पिंग " इस इंटरफ़ेस को एक ही राउटर से पिंग करने की अनुमति देता है। और अंतिम तर्क एसीएल नंबर हो सकता है जो "परमिट" नियमों को कुछ पते और / या अवरुद्ध पैकेटों के लिए अपवाद बनाने की अनुमति देता है।
" IP सत्यापित यूनिकस्ट स्रोत पहुंच-के माध्यम से किसी भी " कमांड uRPF इंटरफ़ेस पर ढीले मोड को सक्षम करता है। इस मोड में, कोई भी पैकेट जिसकी प्रेषक नेटवर्क जानकारी FIB में है, उसे छोड़ दिया जाएगा। इस मोड में, " अनुमति-डिफ़ॉल्ट " तर्क का उपयोग नहीं किया जाता है, क्योंकि यह इंटरफ़ेस के माध्यम से किसी भी पैकेट को अग्रेषित करने की अनुमति देगा।

एसीएल का उपयोग करके uRPF प्रौद्योगिकी द्वारा अवरुद्ध पैकेट को लॉग करने का एक उदाहरण:


uRPF और असममित मार्ग

चूंकि वास्तविक टोपोलॉजी में राउटर पर मार्ग सममित नहीं होते हैं, अर्थात्, एक विशिष्ट राउटर, एक विशिष्ट पोर्ट (एफआईबी पर आधारित) के माध्यम से एक विशिष्ट नेटवर्क पर एक पैकेट भेज रहा है, एक पूरी तरह से अलग इंटरफ़ेस के माध्यम से एक प्रतिक्रिया पैकेट प्राप्त कर सकता है। इस स्थिति में, सख्त यूआरपीएफ ऐसे पैकेटों को रोक देगा।
इस समस्या को हल करने के दो तरीके हैं। सबसे पहले, आप ढीले uRPF का उपयोग कर सकते हैं, और दूसरी बात, उसी ACL का उपयोग करके, जिसका उपयोग हमने लॉगिंग के लिए किया था, आप इसका उपयोग सख्त uRPF में निश्चित रूप से IP पते की कुछ श्रेणियों की जाँच करने के लिए कर सकते हैं (बेशक, केवल उन सीमाओं के लिए जो असममित मार्ग हैं)।

URPF सूचनाएं सेट करने का उदाहरण:


URPF सूचनाएं स्नैम्प के माध्यम से भेजी जा सकती हैं। " आईपी ​​सत्यापित ड्रॉप-दर गणना विंडो सेकंड" उस अवधि को परिभाषित करता है जिसके दौरान uRPF ड्रॉप दर की गणना की जाती है, अर्थात, इस अवधि के बाद ही हम ड्रॉप दर को जान पाएंगे।
" आईपी ​​ड्रॉप-दर गणना अंतराल सेकंड सत्यापित करें " uRPF ड्रॉप दर गणना प्रक्रियाओं के बीच समय अंतराल को परिभाषित करता है।
" आईपी ​​सत्यापित ड्रॉप-दर अधिसूचित होल्ड-डाउन सेकंड्स" कमांड uRPF ड्रॉप रेट नोटिफिकेशन भेजने के बीच न्यूनतम समय निर्धारित करता है।
" आईपी ​​सत्यापित करें यूनिकास्ट अधिसूचना थ्रेशोल्ड पैकेट-प्रति-सेकंड" पैकेट की सीमा मूल्य प्रति सेकंड निर्धारित करता है जो निर्धारित करता है कि ड्रॉप दर से अधिक के बारे में एक अधिसूचना कब भेजें।
" Snmp trap ip, drop-rate को सत्यापित करता है " - अंतिम कमांड राउटर को सूचना भेजने के लिए मजबूर करता है जब snmp प्रोटोकॉल पर ड्रॉप रेट पार हो जाता है, और न केवल syslog सबसिस्टम में।

यदि आप किसी इंटरफ़ेस पर गिरा पैकेट के आंकड़े देखना चाहते हैं, तो आप शो आईपी इंटरफ़ेस iface_name कमांड का उपयोग कर सकते हैं:


मैं यह भी जोर देना चाहता हूं कि ISR राउटर IOS 12.4 (20) T के साथ शुरू होने वाले uRPF और uRPF दोनों नोटिफिकेशन को सपोर्ट करते हैं।