Entendendo o Unicast RPF (roteadores)
Para interfaces que transportam tráfego IPv4 ou IPv6, você pode reduzir o impacto dos ataques de negação de serviço (DoS) configurando o encaminhamento de caminho reverso (RPF) unicast. O Unicast RPF ajuda a determinar a origem dos ataques e rejeita pacotes de endereços de origem inesperados em interfaces onde o RPF unicast é habilitado.
-
Você pode proteger uma rede aplicando o recurso de verificação de RPF unicast na borda (em interfaces voltadas para o cliente) da rede. Em um ambiente ISP, isso pode afetar a rede que pode impor uma configuração escalonada. Caso você já tenha protegido a borda da sua rede, um pacote com um endereço de origem IP falsificado nem sequer apareceria em uma interface voltada para o núcleo. Neste caso, a verificação de RPF unicast não é necessária. Habilitar o recurso de RPF unicast pode afetar o desempenho do plano de controle, então use-o onde for necessário. Por isso, é recomendável não habilitar esse recurso nas interfaces de núcleo de rede (internas).
Atualmente em plataformas PTX, a configuração da especificação de fluxo BGP (flowspec) cria um filtro implícito para definir a instância VRF. Nas plataformas PTX, a pesquisa do filtro precede a pesquisa de IP de origem/destino. Portanto, a pesquisa de IP de origem e destino acontece no contexto da instância VRF.
RPF unicast e rota padrão
Quando a rota ativa não pode ser escolhida das rotas em uma tabela de roteamento, o roteador escolhe uma rota padrão. Uma rota padrão equivale a um endereço IP de 0,0,0,0/0/ 0. Se você configurar uma rota padrão e configurar RPF unicast em uma interface que a rota padrão usa, o RPF unicast se comportará de forma diferente do que de outra forma.
Para determinar se a rota padrão usa uma interface, insira o show route comando:
user@host> show route address
address é o endereço de próximo salto da rota padrão configurada. A rota padrão usa as interfaces mostradas na saída do show route comando.
As seções a seguir descrevem como o RPF unicast se comporta quando uma rota padrão usa uma interface e quando uma rota padrão não usa uma interface:
- Comportamento de RPF da Unicast com uma rota padrão
- Comportamento de RPF da Unicast sem uma rota padrão
- RPF unicast com assimetria de roteamento
Comportamento de RPF da Unicast com uma rota padrão
Em todos os roteadores, exceto aqueles com MPCs e o roteador MX80, o RPF unicast se comporta da seguinte forma se você configurar uma rota padrão que usa uma interface configurada com RPF unicast:
Modo frouxo — todos os pacotes são aceitos automaticamente. Por esse motivo, recomendamos que você não configure o modo RPF frouxo unicast em interfaces que a rota padrão usa.
Modo rigoroso — o pacote é aceito quando o endereço de origem do pacote corresponde a qualquer uma das rotas (padrão ou aprendida) que podem ser acessáveis através da interface. Observe que as rotas podem ter vários destinos associados a eles; portanto, se um dos destinos corresponde à interface de entrada do pacote, o pacote é aceito.
Em todos os roteadores com MPCs e o roteador MX80, o RPF unicast se comporta da seguinte forma se você configurar uma rota padrão que usa uma interface configurada com RPF unicast:
Modo frouxo — todos os pacotes, exceto os pacotes cuja fonte é aprendida com a rota padrão, são aceitos. Todos os pacotes cuja fonte é aprendida com a rota padrão são descartados no Mecanismo de encaminhamento de pacotes. A rota padrão é tratada como se a rota não existisse.
Modo rigoroso — o pacote é aceito quando o endereço de origem do pacote corresponde a qualquer uma das rotas (padrão ou aprendida) que podem ser acessáveis através da interface. Observe que as rotas podem ter vários destinos associados a eles; portanto, se um dos destinos corresponde à interface de entrada do pacote, o pacote é aceito.
Em todos os roteadores, o pacote não é aceito quando qualquer um dos seguintes é verdadeiro:
O endereço fonte do pacote não corresponde a um prefixo na tabela de roteamento.
A interface não espera receber um pacote com este prefixo de endereço de origem.
Comportamento de RPF da Unicast sem uma rota padrão
Se você não configurar uma rota padrão ou se a rota padrão não usar uma interface configurada com RPF unicast, o RPF unicast se comportará como descrito na configuração do modo rígido RPF unicast e na configuração do modo rpf frouxo unicast. Para resumir, o RPF unicast sem uma rota padrão se comporta da seguinte maneira:
Modo rigoroso — o pacote não é aceito quando qualquer um dos seguintes é verdadeiro:
O pacote tem um endereço fonte que não corresponde a um prefixo na tabela de roteamento.
A interface não espera receber um pacote com este prefixo de endereço de origem.
Modo frouxo — o pacote não é aceito quando o pacote tem um endereço de origem que não corresponde a um prefixo na tabela de roteamento.
RPF unicast com assimetria de roteamento
Em geral, recomendamos que você não habilite RPF unicast em interfaces internas da rede, pois é provável que as interfaces internas tenham assimetria de roteamento. A assimetria de roteamento significa que os caminhos de saída e retorno de um pacote são diferentes. Os roteadores no núcleo da rede são mais propensos a ter caminhos reversos assimétricos do que os roteadores na borda do cliente ou provedor. A Figura 1 mostra RPF unicast em um ambiente com assimetria de roteamento.
de roteamento
Na Figura 1, se você habilitar o RPF unicast na interface so-0/0/0, o tráfego destinado ao Roteador A não será rejeitado. Se você habilitar o RPF unicast na interface so-1/0/1, o tráfego do Roteador A será rejeitado.
Se você precisar habilitar o RPF unicast em um ambiente de roteamento assimétrico, você pode usar filtros de falha para permitir que o roteador aceite pacotes de entrada que são conhecidos por estarem chegando por caminhos específicos. Para um exemplo de um filtro de falha que aceita pacotes com um endereço de origem e destino específicos, consulte Configurando o RPF Unicast.
Configuração do modo restrito Unicast RPF
No modo rigoroso, o RPF unicast verifica se o pacote de entrada tem um endereço fonte que corresponda a um prefixo na tabela de roteamento e se a interface espera receber um pacote com este prefixo de endereço de origem.
Quando o modo active-path é configurado, a lista de interface de saída da única rota ativa é criada. Qualquer pacote que venha nessas interfaces é considerado válido e processado.
Se o pacote de entrada falhar na verificação de RPF unicast, o pacote não será aceito na interface. Quando um pacote não é aceito em uma interface, o RPF unicast conta o pacote e o envia para um filtro de falha opcional. Se o filtro de falha não estiver configurado, a ação padrão é descartar silenciosamente o pacote.
O filtro de falha opcional permite aplicar um filtro a pacotes que falham na verificação de RPF unicast. Você pode definir o filtro de falha para realizar qualquer operação de filtro, incluindo aceitar, rejeitar, registrar, amostragem ou policiamento.
Quando o RPF unicast é habilitado em uma interface, os pacotes Bootstrap Protocol (BOOTP) e pacotes de protocolo dinâmico de configuração de host (DHCP) não são aceitos na interface. Para permitir que a interface aceite pacotes BOOTP e pacotes DHCP, você deve aplicar um filtro de falha que aceite todos os pacotes com um endereço de origem e um endereço de 0.0.0.0 destino para um exemplo de 255.255.255.255. configuração, veja Configurando o RPF unicast.
Para obter mais informações sobre a definição de filtros de falha, consulte as políticas de roteamento, filtros de firewall e o guia de usuário dos policiais de tráfego.
Para configurar o RPF unicast, inclua a rpf-check declaração:
rpf-check <fail-filter filter-name>;
Você pode incluir essa declaração nos seguintes níveis de hierarquia:
-
[edit interfaces interface-name unit logical-unit-number family (inet | inet6)] -
[edit logical-systems logical-system-name interfaces interface-name unit logical-unit-number family (inet | inet6)]
O uso de RPF unicast pode ter várias consequências quando implementado com filtros de tráfego:
-
Os filtros de falha de RPF são avaliados após os filtros de entrada e antes dos filtros de saída.
-
Se você configurar um contador de filtros para pacotes derrubados por um filtro de entrada e quiser saber o número total de pacotes perdidos, você também deve configurar um contador de filtros para pacotes descartados pela verificação do RPF.
-
Para contar pacotes que falham na verificação de RPF e são aceitos pelo filtro de falha RPF, você deve configurar um contador de filtros.
-
Se um filtro de entrada encaminhar pacotes em qualquer lugar que não seja as tabelas de roteamento inet.0 ou inet6.0, a verificação de RPF unicast não será realizada.
-
Se um filtro de entrada encaminhar pacotes em qualquer outro lugar que não seja a instância de roteamento para a qual a interface de entrada esteja configurada, a verificação de RPF unicast não será realizada.
Na lista supracitada, os primeiros, últimos e últimos pontos não são aplicáveis às plataformas MX porque nas plataformas MX o uRPF é processado antes da execução de filtros de firewall. A verificação do uRPF é processada para verificação de endereços de origem antes que qualquer ação de FBF (encaminhamento baseado em filtro) seja habilitada para interfaces estáticas e dinâmicas. Isso se aplica às famílias IPv4 e IPv6.
Nos roteadores da Série ACX e MX:
-
O filtro de falha uRPF é suportado em ACX1000, ACX2000, ACX4000 e ACX500, ACX5048 e ACX5096. O filtro não é suportado em ACX5448, ACX710, ACX7100-32C, ACX7100-48, ACX7509 e todos os roteadores da série ACX7000.
- O filtro de falha uRPF não pode combinar pacotes com falha na verificação da porta de entrada (modo rigoroso).
- O filtro de falha uRPF pode combinar pacotes com falha na pesquisa de IP de origem, mas não pode combinar pacotes com falhas na verificação da interface de entrada (modo rigoroso).
- O filtro de falha uRPF aplica-se apenas a instâncias específicas de interface do filtro de firewall.
- Os filtros de falha do uRPF não suportam ações de instâncias de rejeição e roteamento.
Configure o modo RPF unicast rigoroso e aplique um filtro de falha que permite que a interface aceite pacotes BOOTP e pacotes DHCP. O filtro aceita todos os pacotes com um endereço de origem e um endereço de 0.0.0.0 destino de 255.255.255.255.
Para configurar o RPF unicast em modo rigoroso:
Configuração do modo RPF Frouxo unicast
Por padrão, o RPF unicast usa um modo rigoroso. O modo RPF frouxo unicast é semelhante ao modo rígido RPF unicast e tem as mesmas restrições de configuração. A única verificação no modo folgado é se o pacote tem um endereço de origem com um prefixo correspondente na tabela de roteamento; o modo frouxo não verifica se a interface espera receber um pacote com um prefixo de endereço de origem específico. Se um prefixo correspondente não for encontrado, o modo RPF frouxo unicast não aceita o pacote. Como no modo rigoroso, o modo frouxo conta o pacote com falha e o encaminha opcionalmente para um filtro de falha, que aceita, rejeita, registra, amostra ou policia o pacote.
Quando o modo de caminhos viáveis é configurado, uma lista de interface de saída de rotas ativas e inativas é criada. Qualquer pacote que venha nessas interfaces é considerado válido e processado.
Para configurar o modo RPF solto unicast, inclua:mode
Configuração do modo RPF Frouxo unicast com capacidade de descartar pacotes
O modo RPF solto unicast tem a capacidade de descartar pacotes com o endereço de origem apontando para a interface de descarte. O uso do modo RPF frouxo unicast, juntamente com a filtragem de rota nul acionada remotamente, fornece uma maneira eficiente de descartar pacotes vindos de fontes de ataque conhecidas. As políticas BGP em roteadores de borda garantem que os pacotes com endereços de origem não confiáveis tenham seu próximo salto definido para uma rota de descarte. Quando um pacote chega ao roteador com um endereço de origem não confiável, o RPF unicast realiza uma busca de rota do endereço de origem. Como a rota de endereço de origem aponta para um próximo salto de descarte, o pacote é descartado e um contador é incrementado. Esse recurso é compatível com as famílias de endereços IPv4 (inet) e IPv6 (inet6).
Para configurar o modo RPF frouxo unicast com a capacidade de descartar pacotes, inclua a rpf-loose-mode-discard family (inet | inet6) declaração no nível de [edit forwarding-options] hierarquia:
rpf-loose-mode-discard {
family {
inet;
}
}
Neste exemplo, nenhuma configuração especial além da inicialização do dispositivo é necessária.
Configure o modo RPF solto unicast e aplique um filtro de falha que permite que a interface aceite pacotes BOOTP e pacotes DHCP. O filtro aceita todos os pacotes com um endereço de origem e um endereço de 0.0.0.0 destino de 255.255.255.255.
Para configurar o modo RPF frouxo unicast com a capacidade de descartar pacotes:
Configuração do Unicast RPF em uma VPN
Você pode configurar RPF unicast em uma interface VPN, permitindo RPF unicast na interface e incluindo a interface declaração no nível hierárquico [edit routing-instances routing-instance-name] .
Você pode configurar RPF unicast apenas nas interfaces que você especifica na instância de roteamento. Isso significa o seguinte:
-
Para VPNs de Camada 3, o RPF unicast é suportado na interface do roteador CE.
-
O RPF unicast não é suportado em interfaces voltadas para o núcleo.
-
Para instâncias de roteamento de roteador virtual, o RPF unicast é suportado em todas as interfaces que você especifica na instância de roteamento.
-
Se um filtro de entrada encaminhar pacotes em qualquer outro lugar que não seja a instância de roteamento para a qual a interface de entrada esteja configurada, a verificação de RPF unicast não será realizada.
Configure RPF unicast em uma interface VPN de Camada 3:
[edit interfaces]
so-0/0/0 {
unit 0 {
family inet {
rpf-check;
}
}
}
[edit routing-instance]
VPN-A {
interface so-0/0/0.0;
}
Configuração do Unicast RPF
Configure o modo RPF unicast rigoroso e aplique um filtro de falha que permite que a interface aceite pacotes BOOTP e pacotes DHCP. O filtro aceita todos os pacotes com um endereço de origem e um endereço de 0.0.0.0 destino de 255.255.255.255.
[edit firewall]
filter rpf-special-case-dhcp-bootp {
term allow-dhcp-bootp {
from {
source-address {
0.0.0.0/32;
}
address {
255.255.255.255/32;
}
}
then {
count rpf-dhcp-bootp-traffic;
accept;
}
}
term default {
then {
log;
reject;
}
}
}
[edit]
interfaces {
so-0/0/0 {
unit 0 {
family inet {
rpf-check fail-filter rpf-special-case-dhcp-bootp;
}
}
}
}