Cisco ACL 如何处理片段

网络工程 思科 安全 cisco 命令 ACL 碎片化
2021-08-04 03:25:57

我们有一个ASR1000，我有以下 ACL，但昨天有人用大型 DDoS 攻击攻击了我们，我发现这是一次DNS amplification攻击。所以所有的源端口都为53，这绝对是一次碎片攻击。请参阅以下 NetFlow 数据。我看到路由器屏蔽了一些数据，但也有一些数据偷偷溜进来。总之，它击中了内部服务器。

问：为什么ACL没有阻止这次攻击？这里的ACL是如何处理分片报文的？第一个数据包包含端口信息，但以下碎片数据包是L3，那么防火墙如何处理它们。我们也有deny any any。

网络流量

Top 10 Src Port ordered by bps:
Date first seen          Duration Proto          Src Port    Flows(%)     Packets(%)       Bytes(%)         pps      bps   bpp
2016-10-26 10:06:42.898  1207.930 any                   0    64619(49.0)   68.6 M(49.8)   86.7 G(57.2)    56826  574.5 M  1263
2016-10-26 10:06:42.754  1420.227 any                  53    46718(35.4)   47.1 M(34.2)   61.8 G(40.7)    33153  348.2 M  1313

访问控制列表

ip access-list extended FOO-ACL
 permit udp any gt 1023 object-group VOIP-NET range 12000 13000
 permit udp any gt 1023 object-group SIP-NET eq 5060 
 permit udp object-group GOOGLE-DNS any
 permit tcp host any eq bgp host X.X.X.X
 permit icmp any object-group ICMP-NET echo-reply
 permit icmp any object-group ICMP-NET net-unreachable
 permit icmp any object-group ICMP-NET host-unreachable
 permit icmp any object-group ICMP-NET port-unreachable
 permit icmp any object-group ICMP-NET ttl-exceeded
 deny   ip any any
1个回答

你不是在否认fragments。Cisco 有专门处理此问题的访问控制列表和 IP 片段文档。

ACL 和分段数据包

ACL 有一个fragment关键字，可以启用专门的分段数据包处理行为。通常，与第 3 层语句（协议、源地址和目标地址）相匹配的非初始片段（与 ACL 中的第 4 层信息无关）会受到匹配条目的permit或deny语句的影响。请注意，使用片段关键字可以强制 ACL 拒绝或允许更细化的非初始片段。

过滤片段为仅使用非初始片段（例如 FO > 0）的拒绝服务 (DoS) 攻击增加了一层额外的保护。在 ACL 的开头对非初始片段使用拒绝语句会拒绝所有非初始片段访问路由器。在极少数情况下，如果ACL 中存在拒绝片段语句，则有效会话可能需要分段并因此被过滤。可能导致碎片的条件包括使用数字证书进行 ISAKMP 身份验证和使用 IPSec NAT 穿越。

例如，考虑此处显示的部分 ACL。

access-list 110 deny tcp any Internet routable subnet fragments
access-list 110 deny udp any Internet routable subnet fragments
access-list 110 deny icmp any Internet routable subnet fragments
<rest of ACL>

将这些条目添加到 ACL 的开头会拒绝任何对网络的非初始分段访问，而未分段的数据包或初始分段将传递到 ACL 的下一行，而不受拒绝分段语句的影响。前面的 ACL 片段还有助于对攻击进行分类，因为每个协议（UDP、TCP 和 ICMP）都会在 ACL 中增加单独的计数器。

由于许多攻击依赖于使用分段数据包进行泛洪，因此将传入分段过滤到内部网络可提供额外的保护措施，并有助于确保攻击无法通过简单地匹配传输 ACL 中的第 3 层规则来注入分段。

有关选项的详细讨论，请参阅访问控制列表和 IP 片段。

其它你可能感兴趣的问题
上一篇默认网关最佳实践 下一篇思科 QoS 确认