🏟️ 😂 🐙 राउटर और जुनिपर रूटिंग इंजन सुरक्षा विधियों पर एक डीडीओएस हमले का इतिहास 👩🏼‍🔧 👬 🌼

ड्यूटी पर, मुझे अक्सर सर्वर पर डीडीओएस से निपटना पड़ता है, लेकिन कुछ समय पहले मैं एक और हमले में भाग गया, जिसके लिए मैं तैयार नहीं था। यह हमला एक जुनिपर MX80 रूटर पर किया गया था जो बीजीपी सत्रों का समर्थन कर रहा था और डेटा सेंटर सबनेट की घोषणा कर रहा था। हमलावरों का लक्ष्य हमारे सर्वरों में से एक पर स्थित एक वेब संसाधन था, लेकिन हमले के परिणामस्वरूप, पूरे डेटा सेंटर बाहरी दुनिया के साथ संचार के बिना बने रहे। हमले का विवरण, साथ ही परीक्षण और कटौती के तहत ऐसे हमलों का मुकाबला करने के तरीके।

हमले का इतिहास

ऐतिहासिक रूप से, हमारे नेटवर्क पर उड़ने वाले सभी UDP ट्रैफ़िक को राउटर पर ब्लॉक किया जाता है। हमले की पहली लहर (17:22 पर) सिर्फ यूडीपी ट्रैफिक था, अपलिंक राउटर से यूनिकस्ट पैकेट का शेड्यूल:

और राउटर से जुड़े स्विच पोर्ट से यूनिकास्ट पैकेट का एक ग्राफ:

प्रदर्शित करता है कि सभी ट्रैफ़िक राउटर फ़िल्टर पर गधा है। राउटर अपलिंक पर यूनिकैस्ट पैकेट का प्रवाह 400 हजार बढ़ गया और यूडीपी पैकेट के साथ हमला केवल 17:33 तक जारी रहा। फिर हमलावरों ने अपनी रणनीति में बदलाव किया और हमला करने वाले सर्वर पर एक टीसीपी SYN हमला, साथ ही राउटर को यूडीपी हमले में जोड़ा। जैसा कि आप ग्राफ से देख सकते हैं, राउटर इतना खराब हो गया कि उसने एसएनएमपी को ज़ैबिक्स में भेजना बंद कर दिया। SYN की एक लहर के बाद, सहकर्मियों के साथ बीजीपी सत्र राउटर के बंदरगाहों पर गिरना शुरू हो गया (हर एक से तीन अपलिंक का उपयोग करके हमें आईपीवी 4 और आईपीवी 6 का पूरा दृश्य मिलता है), लॉग में दुखद प्रविष्टियां दिखाई दीं:

Jun 27 17:35:07 ROUTER rpd[1408]: bgp_hold_timeout:4035: NOTIFICATION sent to ip.ip.ip.ip (External AS 1111): code 4 (Hold Timer Expired Error), Reason: holdtime expired for ip.ip.ip.ip (External AS 1111), socket buffer sndcc: 19 rcvcc: 0 TCP state: 4, snd_una: 1200215741 snd_nxt: 1200215760 snd_wnd: 15358 rcv_nxt: 4074908977 rcv_adv: 4074925361, hold timer out 90s, hold timer remain 0s Jun 27 17:35:33 ROUTER rpd[1408]: bgp_hold_timeout:4035: NOTIFICATION sent to ip.ip.ip.ip (External AS 1111): code 4 (Hold Timer Expired Error), Reason: holdtime expired for ip.ip.ip.ip (External AS 1111), socket buffer sndcc: 38 rcvcc: 0 TCP state: 4, snd_una: 244521089 snd_nxt: 244521108 snd_wnd: 16251 rcv_nxt: 3829118827 rcv_adv: 3829135211, hold timer out 90s, hold timer remain 0s Jun 27 17:37:26 ROUTER rpd[1408]: bgp_hold_timeout:4035: NOTIFICATION sent to ip.ip.ip.ip (External AS 1111): code 4 (Hold Timer Expired Error), Reason: holdtime expired for ip.ip.ip.ip (External AS 1111), socket buffer sndcc: 19 rcvcc: 0 TCP state: 4, snd_una: 1840501056 snd_nxt: 1840501075 snd_wnd: 16384 rcv_nxt: 1457490093 rcv_adv: 1457506477, hold timer out 90s, hold timer remain 0s

जैसा कि बाद में पता चला, हमले के बाद, टीसीपी SYN लहर ने राउटर के रूटिंग इंजन पर लोड बढ़ा दिया, जिसके बाद सभी बीजीपी सत्र गिर गए और राउटर अपने आप पर काम को बहाल करने में असमर्थ था। राउटर पर हमला कई मिनट तक चला, लेकिन अतिरिक्त भार के कारण, राउटर तीन अपलिंक से एक पूर्ण दृश्य को संसाधित नहीं कर सका और सत्र फिर से टूट गया। वैकल्पिक रूप से सभी बीजीपी सत्रों को बढ़ाकर केवल काम को बहाल करना संभव था। एक और हमला सर्वर में ही चला गया।

बेंच टेस्ट और अटैक प्लेबैक

हमले के लक्ष्य के रूप में, जुनिपर MX80 का उपयोग एक ही फर्मवेयर संस्करण के साथ किया गया था जैसे कि मुकाबला राउटर पर। एक हमलावर के रूप में, 10Gb कार्ड और उस पर स्थापित ubuntu सर्वर + क्गागा के साथ एक सर्वर का उपयोग किया गया था। ट्रैफ़िक जनरेटर एक स्क्रिप्ट था जिसमें hping3 यूटिलिटी कॉल थी। ट्रैफ़िक के "फटने" के हानिकारक प्रभाव की जांच करने के लिए, स्क्रिप्ट ने अस्थायी ब्रेक के साथ ट्रैफ़िक उत्पन्न किया: 30 सेकंड का हमला - 2 सेकंड कोई हमला नहीं। इसके अलावा, प्रयोग की शुद्धता के लिए, रूटर और सर्वर के बीच एक बीजीपी सत्र उठाया गया था। उस समय स्थापित लड़ाई राउटर के कॉन्फ़िगरेशन में, बीजीपी और एसएसएच पोर्ट राउटर के सभी इंटरफेस / पते पर खुले थे और फ़िल्टर नहीं किए गए थे। एक समान कॉन्फ़िगरेशन स्टैंड राउटर में स्थानांतरित किया गया था।

पहला परीक्षण चरण रूटर के BGP (179) पोर्ट पर टीसीपी SYN हमला था। आईपी स्रोत का पता कॉन्फ़िगर में सहकर्मी के पते से मेल खाता है। हमारे अपलिंक सक्षम नहीं होने से आईपी एड्रेस स्पूफिंग को बाहर नहीं किया गया था। सत्र की स्थापना की गई है। कग्गा की तरफ से:

 BGP router identifier 9.4.8.2, local AS number 9123 RIB entries 3, using 288 bytes of memory Peers 1, using 4560 bytes of memory Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd 9.4.8.1 4 1234 1633 2000 0 0 0 00:59:56 0 Total number of neighbors 1

जुनिपर की ओर से:

 user@MX80> show bgp summary Groups: 1 Peers: 1 Down peers: 0 Table Tot Paths Act Paths Suppressed History Damp State Pending inet.0 2 1 0 0 0 0 Peer AS InPkt OutPkt OutQ Flaps Last Up/Dwn State|#Active/Received/Accepted/Damped... 9.4.8.2 4567 155 201 0 111 59:14 1/2/2/0 0/0/0/0

हमले की शुरुआत के बाद (१३:५२) ~ १.२ Mpps of the traffic मक्खियाँ राऊटर पर उड़ती हैं:

या 380Mbps:

राउटर के CPU RE और CPU FE पर लोड बढ़ता है:

एक समय समाप्ति (90 सेकंड) के बाद, BGP सत्र क्रैश हो जाता है और अब नहीं उगता है:

जुलाई 4 13:54:01 MX80 आरपीडी [1407]: bgp_hold_timeout: 4035: अधिसूचना 9.4.8.2 (बाहरी एएस 4567) को भेजा गया: कोड 4 (टाइम टाइमर एक्सपायर्ड एरर), कारण, होल्डम 9.4.8.2 (बाहरी एएस 4567) के लिए समाप्त हो गया है ), सॉकेट बफर sndcc: 38 rcvcc: 0 TCP स्थिति: 4, snd_una: 3523671294 snd_nxt: 3523671313 snd_wnd: 114 rcv_nxt: 1556791630 rcv_adv: 1556808014, टाइमर को बाहर रखने के लिए टाइमर 90 सेकंड में पकड़ें।

रूटर बीजीपी पोर्ट पर आने वाले टीसीपी SYN को संसाधित करने में व्यस्त है और सत्र को स्थापित नहीं कर सकता है। पोर्ट पर कई पैकेज हैं:

user @ MX80> ट्रैफिक इंटरफ़ेस ge-1/0/0 काउंट 20 की निगरानी करें
13: 55: 39.219155 आईपी में 9.4.8.2.2097> 9.4.8.1.bgp: एस 1443462200: 1443462200 (0) जीत 512
13: 55: 39.219169 आईपी में 9.4.8.2.27095> 9.4.8.1.bgp: S 295677290: 295677290 (0) 512 जीत
13: 55: 39.219177 आईपी में 9.4.8.2.30114> 9.4.8.1.bgp: एस 380995480: 380995480 (0) 512 जीत
13: 55: 39.219184 आईपी में 9.4.8.2.57280> 9.4.8.1.bgp: S 814209218: 814209218 (0) 512 जीत
13: 55: 39.219192 आईपी में 9.4.8.2.2731> 9.4.8.1.bgp: एस 131350916: 131350916 (0) 512 जीत
13: 55: 39.219199 आईपी में 9.4.8.2.2261> 9.4.8.1.bgp: एस 2145330024: 2145330024 (0) 512 जीत
13: 55: 39.219206 आईपी में 9.4.8.2.z39.50> 9.4.8.1.bgp: S 1238175350: 1238175350 (0) 512 जीत
13: 55: 39.219213 आईपी में 9.4.8.2.2098> 9.4.8.1.bgp: S 1378645261: 1378645261 (0) 512 जीत
13: 55: 39.219220 आईपी में 9.4.8.2.30115> 9.4.8.1.bgp: एस 1925718835: 1925718835 (0) 512 जीत
13: 55: 39.219227 आईपी में 9.4.8.2.27096> 9.4.8.1.bgp: S 286229321: 286229321 (0) 512 जीत
13: 55: 39.219235 आईपी में 9.4.8.2.2732> 9.4.8.1.bgp: एस 1469740166: 1469740166 (0) 512 जीत
13: 55: 39.219242 आईपी में 9.4.8.2.57281> 9.4.8.1.bgp: एस 1179645542: 1179645542 (0) जीत 512
13: 55: 39.219254 आईपी में 9.4.8.2.2262> 9.4.8.1.bgp: S 1507663512: 1507663512 (0) 512 जीत
13: 55: 39.219262 आईपी में 9.4.8.2.914c / g> 9.4.8.1.bgp: S 1219404184: 1219404184 (0) जीत 512
13: 55: 39.219269 आईपी में 9.4.8.2.2099> 9.4.8.1.bgp: S 577616492: 577616492 (0) जीत 512
13: 55: 39.219276 आईपी में 9.4.8.2.267> 9.4.8.1.bgp: S 1257310851: 1257310851 (0) 512 जीत
13: 55: 39.219283 आईपी में 9.4.8.2.27153> 9.4.8.1.bgp: एस 1965427542: 1965427542 (0) जीत 512
13: 55: 39.219291 आईपी में 9.4.8.2.30172> 9.4.8.1.bgp: एस 1446880235: 1446880235 (0) जीत 512
13: 55: 39.219297 आईपी में 9.4.8.2.57338> 9.4.8.1.bgp: एस 206377149: 206377149 (0) जीत 512
13: 55: 39.219305 आईपी में 9.4.8.2.2789> 9.4.8.1.bgp: एस 838483872: 838483872 (0) जीत 512

दूसरे परीक्षण चरण में रूटर के BGP (179) पोर्ट पर टीसीपी SYN हमला था। स्रोत आईपी पते को यादृच्छिक रूप से चुना गया था और राउटर कॉन्फ़िगरेशन में निर्दिष्ट सहकर्मी पते से मेल नहीं खाता था। इस हमले का राउटर पर समान प्रभाव था। लॉग के समान निष्कर्ष के साथ लेख को लंबा नहीं करने के लिए, मैं केवल लोड ग्राफ दूंगा:

शेड्यूल के अनुसार, हमले की शुरुआत का क्षण स्पष्ट रूप से दिखाई देता है। बीजीपी सत्र भी गिर गया और ठीक होने में विफल रहा।

संरक्षण आरई राउटर के निर्माण की अवधारणा

जुनिपर उपकरण की एक विशेषता रूटिंग इंजन (आरई) और पैकेट फ़ॉरवर्डिंग इंजन (PFE) के बीच कार्यों का पृथक्करण है। PFE पूर्व-निर्मित योजना के अनुसार ट्रैफ़िक के संपूर्ण प्रवाह को फ़िल्टर और रूट करके संसाधित करता है। आरई राउटर (ट्रेसरूट, पिंग, एसएचएस) के लिए प्रत्यक्ष कॉल को संभालता है, सेवा सेवाओं (बीजीपी, एनटीपी, डीएनएस, एसएनएमपी) के लिए पैकेट प्रोसेस करता है और पीएफई राउटर के लिए ट्रैफ़िक के लिए फ़िल्टरिंग और रूटिंग योजनाएं बनाता है।

राउटर की सुरक्षा का मुख्य विचार आरई के लिए नियत सभी ट्रैफ़िक को फ़िल्टर करना है। फ़िल्टर बनाने से डीडीओएस हमले द्वारा बनाए गए लोड को सीपीयू आरई से राउटर के सीपीयू पीएफई में स्थानांतरित करने की अनुमति मिलेगी, जो आरई को केवल वास्तविक पैकेटों को संसाधित करने में सक्षम करेगा और अन्य ट्रैफ़िक पर सीपीयू समय बर्बाद नहीं करेगा। सुरक्षा का निर्माण करने के लिए, आपको यह निर्धारित करना होगा कि हम क्या फ़िल्टर कर रहे हैं। IPv4 के लिए फिल्टर लिखने की योजना डगलस हैंक्स जूनियर की पुस्तक से ली गई थी । - डे वन बुक: एम, एमएक्स और टी श्रृंखला पर रूटिंग इंजन को सुरक्षित करना । मेरे मामले में, राउटर पर, सर्किट इस प्रकार था:

आईपीवी 4 प्रोटोकॉल के लिए

बीजीपी - हम स्रोत और गंतव्य आईपी द्वारा पैकेट फ़िल्टर करते हैं, स्रोत आईपी बीजीपी पड़ोसी सूची में से कोई भी हो सकता है। हम केवल tcp स्थापित कनेक्शन की अनुमति देते हैं, अर्थात्, फ़िल्टर इस पोर्ट पर आने वाले सभी SYN को अस्वीकार कर देगा, और BGP सत्र केवल हम से शुरू होगा (BGP अपलिंक पड़ोसी निष्क्रिय मोड में काम करता है)।
TACACS + - स्रोत और गंतव्य IP द्वारा फ़िल्टर पैकेट, स्रोत IP केवल आंतरिक नेटवर्क से हो सकता है। हम बैंडविड्थ को 1Mb / s तक सीमित करते हैं।
एसएनएमपी - हम पैकेट्स को सोर्स और डेस्टिनेशन आईपी द्वारा फिल्टर करते हैं, सोर्स आईपी कॉन्फिगरेशन में किसी भी तरह के स्नेप-क्लाइंट लिस्ट में हो सकता है।
एसएसएच - हम गंतव्य आईपी द्वारा पैकेट को फ़िल्टर करते हैं, स्रोत आईपी कोई भी हो सकता है, क्योंकि किसी भी नेटवर्क से डिवाइस तक आपातकालीन पहुंच की आवश्यकता होती है। हम बैंडविड्थ को 5Mb / s तक सीमित करते हैं।
NTP - हम पैकेट्स को सोर्स और डेस्टिनेशन ip द्वारा फ़िल्टर करते हैं, सोर्स ip किसी भी एनटीपी सर्वर की लिस्ट हो सकती है। हम बैंडविड्थ को 1Mb / s तक सीमित करते हैं (बाद में सीमा को 512Kb / s तक घटा दिया गया था)।
DNS - हम पैकेट्स को सोर्स और डेस्टिनेशन ip द्वारा फिल्टर करते हैं, सोर्स ip dns सर्वर कॉन्फिगर की लिस्ट में से किसी एक से हो सकता है। हम बैंडविड्थ को 1Mb / s तक सीमित करते हैं।
ICMP - हम पैकेट को फ़िल्टर करते हैं, हम केवल एक राउटर से संबंधित पतों को पास करते हैं। हम बैंडविड्थ को 5Mb / s तक सीमित कर देते हैं (बाद में सीमा 1Mb / s पर कम हो गई थी)।
TRACEROUTE - हम पैकेट को फ़िल्टर करते हैं, हम केवल 1 के बराबर TTL वाले पैकेट को पास करते हैं और केवल एक राउटर से संबंधित पतों को। हम बैंडविड्थ को 1Mb / s तक सीमित करते हैं।

आईपीवी 6 के अनुसार, मेरे मामले में, फ़िल्टर केवल बीजीपी, एनटीपी, आईसीएमपी, डीएनएस और ट्रेसरआउट के लिए लागू किए गए थे। एकमात्र अंतर ICMP ट्रैफ़िक को फ़िल्टर करने में है, क्योंकि IPv6 व्यावसायिक उद्देश्यों के लिए ICMP का उपयोग करता है। अन्य प्रोटोकॉल IPv6 एड्रेसिंग का उपयोग नहीं करते थे।

वर्तनी विन्यास

जुनिपर में फिल्टर लिखने के लिए एक सुविधाजनक उपकरण है - उपसर्ग-सूची, जो आपको फिल्टर प्रतिस्थापन के लिए आईपी पते / सबनेट की गतिशील रूप से संकलन सूची की अनुमति देता है। उदाहरण के लिए, कॉन्फ़िगर में निर्दिष्ट पड़ोसियों के आईपीवी 4 बीजीपी पतों की एक सूची बनाने के लिए, निम्नलिखित संरचना का उपयोग किया जाता है:

 prefix-list BGP-neighbors-v4 { apply-path "protocols bgp group <*> neighbor <*.*>"; }

सूची संकलन परिणाम:

शो कॉन्फ़िगरेशन नीति-विकल्प उपसर्ग-सूची BGP- पड़ोसी- v4 | प्रदर्शन विरासत
##
## लागू-पथ का विस्तार किया गया था:
## 1.1.1.1/32;
## 2.2.2.2/32;
## 3.3.3.3/32;
##
लागू-पथ "प्रोटोकॉल bgp समूह <*> पड़ोसी <*। *>";

हम सभी फिल्टर के लिए गतिशील उपसर्ग सूची तैयार करते हैं:

 /*   ipv4   BGP */ prefix-list BGP-neighbors-v4 { apply-path "protocols bgp group <*> neighbor <*.*>"; } /*   ipv6   BGP */ prefix-list BGP-neighbors-v6 { apply-path "protocols bgp group <*> neighbor <*:*>"; } /*   ipv4  NTP */ prefix-list NTP-servers-v4 { apply-path "system ntp server <*.*>"; } /*   ipv6  NTP */ prefix-list NTP-servers-v6 { apply-path "system ntp server <*:*>"; } /*   ipv4    */ prefix-list LOCALS-v4 { apply-path "interfaces <*> unit <*> family inet address <*>"; } /*   ipv6    */ prefix-list LOCALS-v6 { apply-path "interfaces <*> unit <*> family inet6 address <*>"; } /*   ipv4  SNMP  */ prefix-list SNMP-clients { apply-path "snmp client-list <*> <*>"; } prefix-list SNMP-community-clients { apply-path "snmp community <*> clients <*>"; } /*    TACACS+ */ prefix-list TACPLUS-servers { apply-path "system tacplus-server <*>"; } /*        */ prefix-list INTERNAL-locals { /*      -    */ 192.168.0.1/32; } /*      ,    SSH */ prefix-list MGMT-locals { apply-path "interfaces fxp0 unit 0 family inet address <*>"; } /*   */ prefix-list rfc1918 { 10.0.0.0/8; 172.16.0.0/12; 192.168.0.0/16; } /* Loopback */ prefix-list localhost-v6 { ::1/128; } prefix-list localhost-v4 { 127.0.0.0/8; } /*   ipv4   BGP */ prefix-list BGP-locals-v4 { apply-path "protocols bgp group <*> neighbor <*.*> local-address <*.*>"; } /*   ipv6   BGP */ prefix-list BGP-locals-v6 { apply-path "protocols bgp group <*> neighbor <*:*> local-address <*:*>"; } /*   ipv4  DNS */ prefix-list DNS-servers-v4 { apply-path "system name-server <*.*>"; } /*   ipv6  DNS */ prefix-list DNS-servers-v6 { apply-path "system name-server <*:*>"; }

हम बैंडविड्थ को सीमित करने के लिए पॉलिसरों की रचना करते हैं:

 /*   1Mb */ policer management-1m { apply-flags omit; if-exceeding { bandwidth-limit 1m; burst-size-limit 625k; } /*      */ then discard; } /*   5Mb */ policer management-5m { apply-flags omit; if-exceeding { bandwidth-limit 5m; burst-size-limit 625k; } /*      */ then discard; } /*   512Kb */ policer management-512k { apply-flags omit; if-exceeding { bandwidth-limit 512k; burst-size-limit 25k; } /*      */ then discard; }

नीचे, "कॉपी-पेस्ट" के तहत, अंतिम सुरक्षा विकल्प (एनटीपी और आईसीएमपी ट्रैफिक के थ्रूपुट के लिए थ्रेसहोल्ड के फिल्टर को कम किया गया था, थ्रेसहोल्ड को कम करने के कारणों का विस्तार से परीक्षण अनुभाग में वर्णन किया गया है)। IPv4 फ़िल्टर कॉन्फ़िगर करें:

IPv4 फ़िल्टर

 /*  BGP  */ filter accept-bgp { interface-specific; term accept-bgp { from { source-prefix-list { BGP-neighbors-v4; } destination-prefix-list { BGP-locals-v4; } /*    .     . */ tcp-established; protocol tcp; port bgp; } then { count accept-bgp; accept; } } } /*  SSH  */ filter accept-ssh { apply-flags omit; term accept-ssh { from { destination-prefix-list { MGMT-locals; } protocol tcp; destination-port ssh; } then { /*    */ policer management-5m; count accept-ssh; accept; } } } /*  SNMP  */ filter accept-snmp { apply-flags omit; term accept-snmp { from { source-prefix-list { SNMP-clients; SNMP-community-clients; } destination-prefix-list { /*       */ INTERNAL-locals; } protocol udp; destination-port [ snmp snmptrap ]; } then { count accept-snmp; accept; } } } /*  ICMP  */ filter accept-icmp { apply-flags omit; /*    ICMP */ term discard-icmp-fragments { from { is-fragment; protocol icmp; } then { count discard-icmp-fragments; discard; } } term accept-icmp { from { protocol icmp; icmp-type [ echo-reply echo-request time-exceeded unreachable source-quench router-advertisement parameter-problem ]; } then { /*    */ policer management-1m; count accept-icmp; accept; } } } /*  traceroute  */ filter accept-traceroute { apply-flags omit; term accept-traceroute-udp { from { destination-prefix-list { LOCALS-v4; } protocol udp; /*   TTL = 1 */ ttl 1; destination-port 33434-33450; } then { /*    */ policer management-1m; count accept-traceroute-udp; accept; } } term accept-traceroute-icmp { from { destination-prefix-list { LOCALS-v4; } protocol icmp; /*   TTL = 1 */ ttl 1; icmp-type [ echo-request timestamp time-exceeded ]; } then { /*    */ policer management-1m; count accept-traceroute-icmp; accept; } } term accept-traceroute-tcp { from { destination-prefix-list { LOCALS-v4; } protocol tcp; /*   TTL = 1 */ ttl 1; } then { /*    */ policer management-1m; count accept-traceroute-tcp; accept; } } } /*  DNS  */ filter accept-dns { apply-flags omit; term accept-dns { from { source-prefix-list { DNS-servers-v4; } destination-prefix-list { LOCALS-v4; } protocol udp; source-port 53; } then { /*    */ policer management-1m; count accept-dns; accept; } } } /*         */ filter discard-all { apply-flags omit; term discard-ip-options { from { ip-options any; } then { /*      */ count discard-ip-options; log; discard; } } term discard-TTL_1-unknown { from { ttl 1; } then { /*      */ count discard-TTL_1-unknown; log; discard; } } term discard-tcp { from { protocol tcp; } then { /*      */ count discard-tcp; log; discard; } } term discard-udp { from { protocol udp; } then { /*      */ count discard-udp; log; discard; } } term discard-icmp { from { destination-prefix-list { LOCALS-v4; } protocol icmp; } then { /*      */ count discard-icmp; log; discard; } } term discard-unknown { then { /*      */ count discard-unknown; log; discard; } } } /*  TACACS+  */ filter accept-tacacs { apply-flags omit; term accept-tacacs { from { source-prefix-list { TACPLUS-servers; } destination-prefix-list { INTERNAL-locals; } protocol [ tcp udp ]; source-port [ tacacs tacacs-ds ]; tcp-established; } then { /*    */ policer management-1m; count accept-tacacs; accept; } } } /*  NTP  */ filter accept-ntp { apply-flags omit; term accept-ntp { from { source-prefix-list { NTP-servers-v4; localhost-v4; } destination-prefix-list { localhost-v4; LOCALS-v4; } protocol udp; destination-port ntp; } then { /*    */ policer management-512k; count accept-ntp; accept; } } } /*            */ filter accept-common-services { term protect-TRACEROUTE { filter accept-traceroute; } term protect-ICMP { filter accept-icmp; } term protect-SSH { filter accept-ssh; } term protect-SNMP { filter accept-snmp; } term protect-NTP { filter accept-ntp; } term protect-DNS { filter accept-dns; } term protect-TACACS { filter accept-tacacs; } }

IPv6 के लिए समान फ़िल्टर:

IPv6 फ़िल्टर

 /*  BGP  */ filter accept-v6-bgp { interface-specific; term accept-v6-bgp { from { source-prefix-list { BGP-neighbors-v6; } destination-prefix-list { BGP-locals-v6; } tcp-established; next-header tcp; port bgp; } then { count accept-v6-bgp; accept; } } } /*  ICMP  */ filter accept-v6-icmp { apply-flags omit; term accept-v6-icmp { from { next-header icmp6; /*     ,   ipv6  icmp */ icmp-type [ echo-reply echo-request time-exceeded router-advertisement parameter-problem destination-unreachable packet-too-big router-solicit neighbor-solicit neighbor-advertisement redirect ]; } then { policer management-1m; count accept-v6-icmp; accept; } } } /*  traceroute  */ filter accept-v6-traceroute { apply-flags omit; term accept-v6-traceroute-udp { from { destination-prefix-list { LOCALS-v6; } next-header udp; destination-port 33434-33450; hop-limit 1; } then { policer management-1m; count accept-v6-traceroute-udp; accept; } } term accept-v6-traceroute-tcp { from { destination-prefix-list { LOCALS-v6; } next-header tcp; hop-limit 1; } then { policer management-1m; count accept-v6-traceroute-tcp; accept; } } term accept-v6-traceroute-icmp { from { destination-prefix-list { LOCALS-v6; } next-header icmp6; icmp-type [ echo-reply echo-request router-advertisement parameter-problem destination-unreachable packet-too-big router-solicit neighbor-solicit neighbor-advertisement redirect ]; hop-limit 1; } then { policer management-1m; count accept-v6-traceroute-icmp; accept; } } } /*  DNS  */ filter accept-v6-dns { apply-flags omit; term accept-v6-dns { from { source-prefix-list { DNS-servers-v6; } destination-prefix-list { LOCALS-v6; } next-header udp; source-port 53; } then { policer management-1m; count accept-v6-dns; accept; } } } /*  NTP  */ filter accept-v6-ntp { apply-flags omit; term accept-v6-ntp { from { source-prefix-list { NTP-servers-v6; localhost-v6; } destination-prefix-list { localhost-v6; LOCALS-v6; } next-header udp; destination-port ntp; } then { policer management-512k; count accept-v6-ntp; accept; } } } /*     */ filter discard-v6-all { apply-flags omit; term discard-v6-tcp { from { next-header tcp; } then { count discard-v6-tcp; log; discard; } } term discard-v6-udp { from { next-header udp; } then { count discard-v6-udp; log; discard; } } term discard-v6-icmp { from { destination-prefix-list { LOCALS-v6; } next-header icmp6; } then { count discard-v6-icmp; log; discard; } } term discard-v6-unknown { then { count discard-v6-unknown; log; discard; } } } /*            */ filter accept-v6-common-services { term protect-TRACEROUTE { filter accept-v6-traceroute; } term protect-ICMP { filter accept-v6-icmp; } term protect-NTP { filter accept-v6-ntp; } term protect-DNS { filter accept-v6-dns; } }

अगला, आपको lo0.0 सेवा इंटरफ़ेस पर फ़िल्टर लागू करने की आवश्यकता है। JunOS पर, यह इंटरफ़ेस PFE और RE के बीच डेटा ट्रांसफर करने के लिए उपयोग किया जाता है। कॉन्फ़िगरेशन निम्न रूप लेगा:

 lo0 { unit 0 { family inet { filter { input-list [ accept-bgp accept-common-services discard-all ]; } } family inet6 { filter { input-list [ accept-v6-bgp accept-v6-common-services discard-v6-all ]; } } } }

इनपुट-सूची इंटरफ़ेस में फ़िल्टर निर्दिष्ट किए जाने का क्रम बहुत महत्वपूर्ण है। प्रत्येक पैकेज को वैधता के लिए इनपुट-सूची में निर्दिष्ट फिल्टर से बाएं से दाएं पर जाकर जांचना होगा।

फ़िल्टर परीक्षण

फिल्टर लगाने के बाद, मैंने एक ही स्टैंड पर कई परीक्षणों का आयोजन किया। प्रत्येक परीक्षण के बाद, फ़ायरवॉल काउंटरों को साफ कर दिया गया था। राउटर पर सामान्य (बिना हमले) लोड 11:06 - 11:08 पर रेखांकन पर दिखाई देता है। संपूर्ण परीक्षण अवधि के लिए pps चार्ट:

संपूर्ण परीक्षण अवधि के लिए सीपीयू ग्राफ:

5Mb / s के ट्रैफिक थ्रेसहोल्ड के साथ icmp बाढ़ परीक्षण सबसे पहले किया गया था (चार्ट 10:21 - 10:24 पर)। फ़िल्टर काउंटर और ग्राफ़ ट्रैफ़िक के लिए बैंडविड्थ सीमा दिखाते हैं, लेकिन यहां तक कि यह स्ट्रीम लोड को बढ़ाने के लिए पर्याप्त था, इसलिए थ्रेशोल्ड को 1Mb / s तक घटा दिया गया था। काउंटर:

 Filter: lo0.0-i Counters: Name Bytes Packets accept-bgp-lo0.0-i 0 0 accept-icmp-lo0.0-i 47225584 1686628 accept-ntp-lo0.0-i 152 2 accept-snmp-lo0.0-i 174681 2306 accept-ssh-lo0.0-i 38952 702 accept-traceroute-icmp-lo0.0-i 0 0 accept-traceroute-tcp-lo0.0-i 841 13 accept-traceroute-udp-lo0.0-i 0 0 discard-TTL_1-unknown-lo0.0-i 0 0 discard-icmp-lo0.0-i 0 0 discard-icmp-fragments-lo0.0-i 0 0 discard-ip-options-lo0.0-i 0 0 discard-tcp-lo0.0-i 780 13 discard-udp-lo0.0-i 18743 133 discard-unknown-lo0.0-i 0 0 Policers: Name Bytes Packets management-1m-accept-ntp-lo0.0-i 0 0 management-1m-accept-traceroute-icmp-lo0.0-i 0 0 management-1m-accept-traceroute-tcp-lo0.0-i 0 0 management-1m-accept-traceroute-udp-lo0.0-i 0 0 management-5m-accept-icmp-lo0.0-i 933705892 33346639 management-5m-accept-ssh-lo0.0-i 0 0

1 एमबी / एस के ट्रैफिक थ्रेशोल्ड (रेखांकन 10:24 - 10:27 पर) के साथ बार-बार icmp बाढ़ परीक्षण। आरई राउटर पर लोड 19% से 10% तक गिर गया, PFE पर लोड 30% हो गया। काउंटर:

 Filter: lo0.0-i Counters: Name Bytes Packets accept-bgp-lo0.0-i 0 0 accept-icmp-lo0.0-i 6461448 230766 accept-ntp-lo0.0-i 0 0 accept-snmp-lo0.0-i 113433 1497 accept-ssh-lo0.0-i 33780 609 accept-traceroute-icmp-lo0.0-i 0 0 accept-traceroute-tcp-lo0.0-i 0 0 accept-traceroute-udp-lo0.0-i 0 0 discard-TTL_1-unknown-lo0.0-i 0 0 discard-icmp-lo0.0-i 0 0 discard-icmp-fragments-lo0.0-i 0 0 discard-ip-options-lo0.0-i 0 0 discard-tcp-lo0.0-i 360 6 discard-udp-lo0.0-i 12394 85 discard-unknown-lo0.0-i 0 0 Policers: Name Bytes Packets management-1m-accept-icmp-lo0.0-i 665335496 23761982 management-1m-accept-ntp-lo0.0-i 0 0 management-1m-accept-traceroute-icmp-lo0.0-i 0 0 management-1m-accept-traceroute-tcp-lo0.0-i 0 0 management-1m-accept-traceroute-udp-lo0.0-i 0 0 management-5m-accept-ssh-lo0.0-i 0 0

अगला परीक्षण एक बाहरी (रूटर में शामिल नहीं) आईपी पते (चार्ट 10:29 - 10:36 पर) से रूटर के बीजीपी पोर्ट पर बाढ़ था। जैसा कि काउंटरों से देखा जा सकता है, पूरी बाढ़ को त्याग-टीसीपी फ़िल्टर आरई पर बसे और केवल पीएफई पर लोड बढ़ा दिया। आरई पर लोड नहीं बदला है। काउंटर:

 Filter: lo0.0-i Counters: Name Bytes Packets accept-bgp-lo0.0-i 824 26 accept-icmp-lo0.0-i 0 0 accept-ntp-lo0.0-i 0 0 accept-snmp-lo0.0-i 560615 7401 accept-ssh-lo0.0-i 33972 585 accept-traceroute-icmp-lo0.0-i 0 0 accept-traceroute-tcp-lo0.0-i 1088 18 accept-traceroute-udp-lo0.0-i 0 0 discard-TTL_1-unknown-lo0.0-i 0 0 discard-icmp-lo0.0-i 0 0 discard-icmp-fragments-lo0.0-i 0 0 discard-ip-options-lo0.0-i 0 0 discard-tcp-lo0.0-i 12250785600 306269640 discard-udp-lo0.0-i 63533 441 discard-unknown-lo0.0-i 0 0 Policers: Name Bytes Packets management-1m-accept-icmp-lo0.0-i 0 0 management-1m-accept-ntp-lo0.0-i 0 0 management-1m-accept-traceroute-icmp-lo0.0-i 0 0 management-1m-accept-traceroute-tcp-lo0.0-i 0 0 management-1m-accept-traceroute-udp-lo0.0-i 0 0 management-5m-accept-ssh-lo0.0-i 0 0

सत्र गिरता नहीं है:

 user@MX80# run show bgp summary Groups: 1 Peers: 1 Down peers: 0 Table Tot Paths Act Paths Suppressed History Damp State Pending inet.0 2 1 0 0 0 0 Peer AS InPkt OutPkt OutQ Flaps Last Up/Dwn State|#Active/Received/Accepted/Damped... 9.4.8.2 4567 21 22 0 76 8:49 1/2/2/0 0/0/0/0

चौथा बाढ़ परीक्षण किया गया था (रेखांकन 10:41 - 10:46 पर) UDP से NTP पोर्ट (फ़िल्टर सेटिंग में, इस पोर्ट पर इंटरैक्शन राउटर कॉन्फ़िगरेशन में निर्दिष्ट सर्वर तक सीमित है)। शेड्यूल के अनुसार, लोड केवल PFE राउटर पर 28% तक बढ़ जाता है। काउंटर:

 Filter: lo0.0-i Counters: Name Bytes Packets accept-bgp-lo0.0-i 0 0 accept-icmp-lo0.0-i 0 0 accept-ntp-lo0.0-i 0 0 accept-snmp-lo0.0-i 329059 4344 accept-ssh-lo0.0-i 22000 388 accept-traceroute-icmp-lo0.0-i 0 0 accept-traceroute-tcp-lo0.0-i 615 10 accept-traceroute-udp-lo0.0-i 0 0 discard-TTL_1-unknown-lo0.0-i 0 0 discard-icmp-lo0.0-i 0 0 discard-icmp-fragments-lo0.0-i 0 0 discard-ip-options-lo0.0-i 0 0 discard-tcp-lo0.0-i 0 0 discard-udp-lo0.0-i 1938171670 69219329 discard-unknown-lo0.0-i 0 0 Policers: Name Bytes Packets management-1m-accept-icmp-lo0.0-i 0 0 management-1m-accept-ntp-lo0.0-i 0 0 management-1m-accept-traceroute-icmp-lo0.0-i 0 0 management-1m-accept-traceroute-tcp-lo0.0-i 0 0 management-1m-accept-traceroute-udp-lo0.0-i 0 0 management-5m-accept-ssh-lo0.0-i 0 0

पांचवें बाढ़ परीक्षण किया गया था (ग्राफ़ पर 10:41 - 11:04) आईपी स्पूफिंग के साथ एनडीपी पोर्ट के लिए यूडीपी। आरई लोड 12% बढ़ा, पीएफई लोड 22% तक बढ़ गया। काउंटरों के अनुसार, यह स्पष्ट है कि बाढ़ 1 एमबी / एस की दहलीज पर टिकी हुई है, लेकिन आरई पर लोड बढ़ाने के लिए यह पर्याप्त है। ट्रैफ़िक सीमा को अंततः 512Kb / s तक घटा दिया गया था। काउंटर:

 Filter: lo0.0-i Counters: Name Bytes Packets accept-bgp-lo0.0-i 0 0 accept-icmp-lo0.0-i 0 0 accept-ntp-lo0.0-i 34796804 1242743 accept-snmp-lo0.0-i 630617 8324 accept-ssh-lo0.0-i 20568 366 accept-traceroute-icmp-lo0.0-i 0 0 accept-traceroute-tcp-lo0.0-i 1159 19 accept-traceroute-udp-lo0.0-i 0 0 discard-TTL_1-unknown-lo0.0-i 0 0 discard-icmp-lo0.0-i 0 0 discard-icmp-fragments-lo0.0-i 0 0 discard-ip-options-lo0.0-i 0 0 discard-tcp-lo0.0-i 0 0 discard-udp-lo0.0-i 53365 409 discard-unknown-lo0.0-i 0 0 Policers: Name Bytes Packets management-1m-accept-icmp-lo0.0-i 0 0 management-1m-accept-ntp-lo0.0-i 3717958468 132784231 management-1m-accept-traceroute-icmp-lo0.0-i 0 0 management-1m-accept-traceroute-tcp-lo0.0-i 0 0 management-1m-accept-traceroute-udp-lo0.0-i 0 0 management-5m-accept-ssh-lo0.0-i 0 0

बार-बार बाढ़ परीक्षण (11:29 - 11:34 के नीचे चार्ट पर) आईपी स्पूफिंग के साथ NTP पोर्ट पर UDP, लेकिन 512Kb / s के ट्रैफिक थ्रेशोल्ड के साथ। लोड ग्राफ:

काउंटरर्स:

 Filter: lo0.0-i Counters: Name Bytes Packets accept-bgp-lo0.0-i 0 0 accept-icmp-lo0.0-i 0 0 accept-ntp-lo0.0-i 21066260 752363 accept-snmp-lo0.0-i 744161 9823 accept-ssh-lo0.0-i 19772 347 accept-traceroute-icmp-lo0.0-i 0 0 accept-traceroute-tcp-lo0.0-i 1353 22 accept-traceroute-udp-lo0.0-i 0 0 discard-TTL_1-unknown-lo0.0-i 0 0 discard-icmp-lo0.0-i 0 0 discard-icmp-fragments-lo0.0-i 0 0 discard-ip-options-lo0.0-i 0 0 discard-tcp-lo0.0-i 0 0 discard-udp-lo0.0-i 82745 602 discard-unknown-lo0.0-i 0 0 Policers: Name Bytes Packets management-1m-accept-icmp-lo0.0-i 0 0 management-1m-accept-traceroute-icmp-lo0.0-i 0 0 management-1m-accept-traceroute-tcp-lo0.0-i 0 0 management-1m-accept-traceroute-udp-lo0.0-i 0 0 management-512k-accept-ntp-lo0.0-i 4197080384 149895728 management-5m-accept-ssh-lo0.0-i 0 0

निष्कर्ष

किए गए सभी परीक्षणों के परिणामस्वरूप, आरई ट्रैफ़िक फ़िल्टर का एक कॉन्फ़िगरेशन प्राप्त करना संभव था जो डीडीओएस हमलों के लिए प्रतिरोधी है। फिलहाल, यह कॉन्फ़िगरेशन पहले से ही एक मुकाबला राउटर पर लागू किया गया है और किसी भी समस्या की पहचान नहीं की गई है। मुकाबला MX80 से काउंटरों के अनुसार:

 Filter: lo0.0-i Counters: Name Bytes Packets accept-v6-bgp-lo0.0-i 31091878 176809 accept-v6-icmp-lo0.0-i 1831144 26705 accept-v6-ntp-lo0.0-i 0 0 accept-v6-traceroute-icmp-lo0.0-i 0 0 accept-v6-traceroute-tcp-lo0.0-i 48488 684 accept-v6-traceroute-udp-lo0.0-i 0 0 discard-v6-icmp-lo0.0-i 0 0 discard-v6-tcp-lo0.0-i 0 0 discard-v6-udp-lo0.0-i 0 0 discard-v6-unknown-lo0.0-i 0 0 Policers: Name Bytes Packets management-1m-accept-v6-icmp-lo0.0-i 0 0 management-1m-accept-v6-traceroute-icmp-lo0.0-i 0 0 management-1m-accept-v6-traceroute-tcp-lo0.0-i 0 0 management-1m-accept-v6-traceroute-udp-lo0.0-i 0 0 management-512k-accept-v6-ntp-lo0.0-i 0 0 Filter: lo0.0-i Counters: Name Bytes Packets accept-bgp-lo0.0-i 135948400 698272 accept-dns-lo0.0-i 374 3 accept-icmp-lo0.0-i 121304849 1437305 accept-ntp-lo0.0-i 87780 1155 accept-snmp-lo0.0-i 1265470648 12094967 accept-ssh-lo0.0-i 2550011 30897 accept-tacacs-lo0.0-i 702450 11657 accept-traceroute-icmp-lo0.0-i 28824 636 accept-traceroute-tcp-lo0.0-i 75378 1361 accept-traceroute-udp-lo0.0-i 47328 1479 discard-TTL_1-unknown-lo0.0-i 27790 798 discard-icmp-lo0.0-i 26400 472 discard-icmp-fragments-lo0.0-i 0 0 discard-ip-options-lo0.0-i 35680 1115 discard-tcp-lo0.0-i 73399674 1572144 discard-udp-lo0.0-i 126386306 694603 discard-unknown-lo0.0-i 0 0 Policers: Name Bytes Packets management-1m-accept-dns-lo0.0-i 0 0 management-1m-accept-icmp-lo0.0-i 38012 731 management-1m-accept-tacacs-lo0.0-i 0 0 management-1m-accept-traceroute-icmp-lo0.0-i 0 0 management-1m-accept-traceroute-tcp-lo0.0-i 0 0 management-1m-accept-traceroute-udp-lo0.0-i 0 0 management-512k-accept-ntp-lo0.0-i 0 0 management-5m-accept-ssh-lo0.0-i 0 0

आप देख सकते हैं कि कितना "छोड़ दिया" ट्रैफ़िक को त्यागें फ़िल्टर पर जमा किया गया है।

मुझे टिप्पणियों में सभी सवालों के जवाब देने में खुशी होगी।