बीजीपी का उपयोग कर डीडीओएस हमलों के खिलाफ सुरक्षा

मेरे द्वारा प्रशासित नेटवर्क पर होस्ट किए गए सर्वर, एएस, अक्सर विभिन्न डीडीओएस हमलों के अधीन होते हैं। हमलावरों का लक्ष्य सर्वर पर स्थित अलग-अलग संसाधनों के रूप में हो सकता है, सर्वर खुद को और पूरी साइट को एक पूरे के रूप में। हर महीने हमलों की संख्या, जटिलता और शक्ति बढ़ जाती है। 300-400Mb / s पर अटैक बढ़कर 70-80Gb / s हो गया। इस स्थिति में, सर्वर ट्यूनिंग द्वारा सभी हमलों को निरस्त नहीं किया जा सकता है, और बड़े हमले कार्य और संपूर्ण साइट को एक पूरे के रूप में बाधित कर सकते हैं। पूरी होस्टिंग टीम की मदद से ऐसे हमलों से निपटना आवश्यक है। नेटवर्क व्यवस्थापकों के पास नेटवर्क स्तर पर ऐसे हमलों से निपटने के साधन भी होने चाहिए। कट के तहत ऐसे उपकरणों पर चर्चा की जाएगी।

डीडीओएस हमलों के खिलाफ सुरक्षा के मुख्य तरीके पर लेख गतिशील मार्ग के माध्यम से विचार करेगा: - ब्लैकहोल ("ब्लैक होल") विधि।
यह विधि आपको हमले वाले सर्वर पर यातायात के प्रवाह को पूरी तरह से रोकने और एएस और प्रदाता चैनलों से लोड को हटाने की अनुमति देती है। उच्च-उपलब्धता आभासी होस्टिंग सेवाएं प्रदान करने की शर्तों में, यह विधि एक चरम उपाय है, लेकिन बड़े DDOS हमलों से निपटने के लिए एक प्रभावी तरीका है जब अन्य साधनों के साथ सामना करना संभव नहीं है।

आइए कुछ शब्दों की व्याख्या करते हैं जो लेख में दिखाई देंगे:
बीजीपी (बॉर्डर गेटवे प्रोटोकॉल) वैश्विक इंटरनेट पर मुख्य गतिशील मार्ग प्रोटोकॉल है। रूटर्स को राउटिंग टेबल एक्सचेंज करने की अनुमति देता है। लचीला यातायात प्रबंधन उपकरण प्रदान करता है।
बीजीपी समुदाय - डायनामिक रूटिंग प्रोटोकॉल बीजीपी की एक विशेषता, जो आपको प्रेषित मार्गों पर कुछ लेबल सेट करने की अनुमति देती है। विशेषता आपको कस्टम मान बनाने और सेट करने की अनुमति देती है (केवल अनुशंसित समुदाय प्रारूप स्थापित है) और, उनके आधार पर, लचीले ढंग से राउटर फ़िल्टर कॉन्फ़िगर करें।
peering - मार्ग विनिमय के लिए एक स्थापित बीजीपी सत्र।
नेटवर्क की घोषणा - डायनामिक रूटिंग प्रोटोकॉल की शब्दावली में, स्थानीय रूटिंग टेबल से पड़ोसी राउटर तक मार्ग भेजना।
एएस (ऑटोनोमस सिस्टम) - आईपी नेटवर्क का एक सेट वैश्विक इंटरनेट के स्थापित नियमों के अनुसार एक ऑपरेटर द्वारा प्रबंधित किया जाता है।
EBGP (एक्सटर्नल बॉर्डर गेटवे प्रोटोकॉल) विभिन्न ASs के राउटर के बीच एक प्रकार का BGP रूट एक्सचेंज है।
iBGP (इंटरनल बॉर्डर गेटवे प्रोटोकॉल) - AS के अंदर राउटर के बीच एक प्रकार का BGP रूट एक्सचेंज।
पॉलिसी-स्टेटमेंट - राउटर कॉन्फ़िगरेशन के हिस्से के रूप में, जुनिपर नियमों का एक समूह है जो डायनामिक रूटिंग प्रोटोकॉल के माध्यम से प्राप्त या प्रेषित मार्गों के लिए फ़िल्टरिंग की स्थिति निर्धारित करता है।
DDOS (सेवा का वितरण अस्वीकृत ) सेवा हमले का एक वितरित खंडन है। एक हमला जो मैलवेयर (बॉटनेट) से संक्रमित दुनिया भर के कंप्यूटरों के एक नेटवर्क का उपयोग करता है जो यातायात उत्पन्न करते हैं या पीड़ित पर हमला करते हैं।
यूडीपी प्रवर्धन एक प्रकार का डीडीओएस हमला है जो खुले यूडीपी पोर्ट और एसएनएमपी, एनटी, डीएनएस सेवाओं के साथ तीसरे पक्ष के सर्वर का उपयोग करता है। आमतौर पर, इस प्रकार का हमला पीड़ित के चैनल की बैंडविड्थ के उद्देश्य से होता है।
ISP (इंटरनेट सेवा प्रदाता) - एक संगठन जो इंटरनेट एक्सेस सेवाएं प्रदान करता है, बस - एक प्रदाता।

बीजीपी ब्लैकहोल

ब्लैकहोल आपको हमारे एएस में प्रवेश करने से पहले प्रदाता स्तर पर यातायात का प्रबंधन करने की अनुमति देता है। यह बैंडविड्थ पर बड़े हमलों (अक्सर डीएनएस प्रवर्धन ) से निपटने में प्रभावी है। शास्त्रीय योजना में, विधि में निजी नेटवर्क से आईपी पते पर विज्ञापित मार्ग के लिए अगला-हॉप सेट करना शामिल है। चूंकि बैकबोन प्रदाताओं के पास निजी नेटवर्क के लिए मार्ग होते हैं, इसलिए अधिकांश भाग के लिए, उन्हें Null0 (सिस्को शब्दावली में, जुनिपर - त्याग) में रूट किया जाना चाहिए, इस नेटवर्क से एक गंतव्य पते के साथ पैकेट स्वचालित रूप से त्याग दिए जाएंगे - वे प्रदाता के नेटवर्क में भी "ब्लैक होल" में गिर जाएंगे। दुर्भाग्य से, बैकबोन प्रदाताओं के वास्तविक नेटवर्क में, निजी नेटवर्क मार्ग हमेशा Null0 के लिए सेट नहीं किए जाते हैं, क्योंकि प्रदाता स्वयं राउटिंग के लिए इन पतों का उपयोग करते हैं या बस आरएफसी सिफारिशों का पालन नहीं करते हैं। ब्लैकहोल को स्थापित करने के लिए, सबसे अधिक बार, उन्नत बीजीपी मार्ग प्रबंधन सुविधाओं का उपयोग करें - बीजीपी समुदाय। विधि उन मार्गों के लिए एक विशेष समूह (समुदाय) बनाकर कार्यान्वित की जाती है, जिनके यातायात को "ब्लैक होल" के लिए निर्देशित किया जाना चाहिए। हमले की शुरुआत के समय, हमले के एएस के नेटवर्क प्रशासक इस समुदाय के साथ इसे मजबूत करते हुए, एक लंबे मुखौटा / 32 के साथ मार्ग को स्थानांतरित करने में सक्षम होंगे, जिससे आईएसपी राउटर को सूचित किया जाएगा कि इस आईपी पते से पहले पैकेट को छोड़ दिया जाना चाहिए। ISP साइड पर पैकेट फ़िल्टरिंग को ACL या Null इंटरफ़ेस का उपयोग करके किया जा सकता है, लेकिन सबसे सही दृष्टिकोण में एक पुनरावर्ती ब्लैकहोल शामिल है। एक योजनाबद्ध पुनरावर्ती ब्लैकहोल विधि नीचे दी गई है:

AS3 और AS4 के हमलावर AS2 में स्थित IP पते 1.1.1.1 के साथ वेब सर्वर पर हमला करते हैं। AS2 नेटवर्क व्यवस्थापक ब्लैकहोल में सर्वर का पता 666 समुदाय के साथ अपने आईपी पते पर मार्ग को संचारित करके सेट करता है। स्थापित ब्लैकहोल समुदाय के साथ / 32 रूट प्राप्त आईएसपी राउटर आईपी 1.1.1.1 पते पर निर्देशित सभी पैकेटों को छोड़ना शुरू कर देता है। इसके अलावा, अपने स्वयं के चैनलों से लोड को हटाने के लिए, ISP (AS1) इस मार्ग को अपने प्रदाताओं को आगे स्थापित करता है, इस पर उनके द्वारा प्रदान किए गए ब्लैकहोल समुदाय (आरेख में यह समुदाय 3: 666 और 4: 666) है। यह सुरक्षा विधि AS2 राउटर पर साधारण पैकेट फ़िल्टरिंग की तुलना में अधिक प्रभावी है, क्योंकि यह AS1 और AS2 के बीच के चैनलों के साथ-साथ AS1 प्रदाता के eBGP चैनलों से लोड को हटा देता है। IP पते को निर्देशित पैकेट ड्रॉपिंग 1.1.1.1 प्रदाताओं के राउटर पर होता है जिसमें हमलावर सीधे जुड़े होते हैं। यदि हमलावर किसी अन्य AS (प्रदाता के AS से संबंधित नहीं है) से जुड़ा है, तो AS3 और AS4 प्रदाता में से प्रत्येक ब्लैकहोल समुदाय से अपने प्रदाताओं और आगे उनकी बारी, आदि में मार्ग का विज्ञापन कर सकते हैं। इस प्रकार, बैकबोन प्रदाताओं के सभी नेटवर्क को डीडीओएस ट्रैफ़िक से हटा दिया जाएगा।

बीजीपी ब्लैकहोल का अभ्यास करते हैं

व्यावहारिक कार्यान्वयन के उदाहरण के बिना लेख पूरा नहीं होगा। व्यावहारिक अनुप्रयोग विधि को जुनिपर रूटर्स के उदाहरण पर दिखाया गया है, लेकिन इसे किसी भी विक्रेता के उपकरण पर लागू किया जा सकता है।

प्रदाता पक्ष सेट करना

पहले आपको ब्लैकहोल में स्थापित उपसर्गों को इंगित करने के लिए एक विशिष्ट समुदाय बनाने की आवश्यकता है:

set policy-options community TEST_blackhole members 1:666 

जहां 1 प्रदाता की एएस संख्या है (अन्य आईएसपी नेटवर्क पर स्थानांतरित होने पर भी समुदाय को अद्वितीय बने रहने की अनुमति देता है), 666 समुदाय अद्वितीय संख्या है (यह कोई भी हो सकता है, लेकिन 666 अनुशंसित है)। अगला, हम अपने सहकर्मी से उपसर्गों को आयात करने के लिए एक नीति बनाते हैं, उनमें से सामुदायिक ब्लैकहोल से उपसर्गों का चयन करें और उन्हें नल में लपेटें (जुनिपर में यह त्याग है):

 [edit policy-options policy-statement Blackhole-import] term to-blackhole { from community TEST_blackhole; then { community add ISP-community; #  blackhole community  ISP      next-hop discard; accept; } } 

इस नीति-कथन को ग्राहकों से आयातित (प्राप्त) उपसर्गों के लिए EBGP सत्र में असाइन करें।

क्लाइंट साइड सेटअप

इसी प्रकार, पहले, एक समुदाय को ब्लैकहोल में स्थापित उपसर्गों को इंगित करने के लिए बनाया गया है:

  set policy-options community TEST_blackhole members 1:666 

मान प्रदाता पक्ष पर समान हैं, एकमात्र अंतर यह है कि एएस नंबर प्रदाता के एएस के अनुरूप होना चाहिए, जो समुदाय को जारी करता है और इसके पदनाम को निर्धारित करता है। अगला, आईएसपी राउटर को पारित होने वाले उपसर्गों में समुदाय को जोड़ने के लिए एक नीति-कथन बनाएं।

 policy-statement Blackhole-export { term blackhole { from { protocol static; tag 666; } then { community set TEST_blackhole; accept; } } then reject; } 

उपसर्ग का चयन स्थैतिक मार्गों से किया जाता है। चूंकि राउटर शुरू में केवल / 32 से बड़े नेटवर्क के बारे में जानता है, इसलिए एक विशिष्ट उपसर्ग अलग से बनाया जाना चाहिए। जैसा कि नियम से देखा जा सकता है, यह पॉलिसी-स्टेटमेंट 666 टैग (टैग संख्या किसी भी हो सकती है) के साथ सभी स्थिर मार्गों का चयन करेगी। हम अपने प्रदाता को eBGP सत्र के लिए निर्यात फ़िल्टर के रूप में इस नीति-कथन को असाइन करते हैं। अब, यदि सर्वर पते को ब्लैकहोल में रखने की आवश्यकता है, तो हमारे राउटर पर एक स्थिर / 32 मार्ग बनाएं।
उदाहरण के लिए, ब्लैकहोल में आरेख में निर्दिष्ट पते को निर्धारित करने के लिए, कमांड निष्पादित करें:

 set routing-options static route 1.1.1.1/32 discard tag 666 

जहां 1.1.1.1 IP पता ब्लैकहोल पर सेट है।

निष्कर्ष

वर्णित विधि आपको उन हमलों से निपटने की अनुमति देती है जो पूरी साइट के सही संचालन में बाधा डालती हैं। इस तरह के हमले सैकड़ों गिगाबिट्स / सेकंड तक पहुंच सकते हैं और यहां तक ​​कि एक रीढ़ प्रदाता भी हमेशा उनके साथ सामना नहीं कर सकते हैं। बीजीपी सामुदायिक विशेषता का व्यापक रूप से यातायात वर्गीकरण और परिचालन प्रबंधन के लिए रीढ़ प्रदाताओं द्वारा उपयोग किया जाता है। कई आईएसपी समुदाय का एक पूरा सेट प्रदान करते हैं, जो आपको ब्लैकहोल में न केवल विशिष्ट पते निर्धारित करने की अनुमति देता है, बल्कि उनके एएस पर आने वाले ट्रैफ़िक को भी नियंत्रित करता है, अर्थात प्रदाता के चैनलों पर भी ट्रैफ़िक का प्रबंधन करता है। सामुदायिक प्रदाताओं का विश्लेषण नेटवर्क प्रशासक को डीडीओएस हमलों से निपटने के लिए एक योजना विकसित करने और कभी-कभी हमलों को खत्म करने की प्रक्रिया को स्वचालित करने की अनुमति देता है।