IP-Paketschutz

Da Pakete verschiedene Netzwerke durchlaufen, ist es manchmal notwendig, ein Paket basierend auf der maximalen Übertragungseinheit (MTU) jedes Netzwerks in kleinere Teile (Fragmente) aufzuteilen. IP-Fragmente können den Versuch eines Angreifers enthalten, die Schwachstellen im Paketreassemblierungscode bestimmter IP-Stack-Implementierungen auszunutzen. Wenn das Opfer diese Pakete erhält, können die Ergebnisse von einer fehlerhaften Verarbeitung der Pakete bis hin zum Absturz des gesamten Systems reichen. Siehe Abbildung 1.

Abbildung 1: IP-Paketfragmente

Wenn Sie Junos OS aktivieren, um IP-Fragmente in einer Sicherheitszone abzulehnen, werden alle IP-Paketfragmente blockiert, die es an Schnittstellen empfängt, die an diese Zone gebunden sind.

In IPv6-Paketen sind keine Fragmentinformationen im IPv6-Header vorhanden. Die Fragmentinformationen sind im Fragmenterweiterungsheader vorhanden, der für die IPv6-Fragmentierung und -Reassemblierung verantwortlich ist. Der Quellknoten fügt den Fragmenterweiterungsheader zwischen dem IPv6-Header und dem Nutzlastheader ein, wenn eine Fragmentierung erforderlich ist. Siehe Abbildung 2.

Abbildung 2: IPv6-Paket

Das allgemeine Format des Fragmenterweiterungsheaders ist in Abbildung 3 dargestellt.

Abbildung 3: Header der Fragmenterweiterung

In diesem Beispiel wird gezeigt, wie fragmentierte IP-Pakete verworfen werden.

Der IP-Standard RFC 791 ( Internet Protocol) spezifiziert eine Reihe von acht Optionen, die spezielle Routing-Steuerelemente, Diagnosetools und Sicherheit bereitstellen. Obwohl die ursprünglichen, beabsichtigten Verwendungszwecke für diese Optionen würdigen Zwecken dienten, haben die Menschen Wege gefunden, diese Optionen zu verdrehen, um weniger lobenswerte Ziele zu erreichen.

Absichtlich oder versehentlich konfigurieren Angreifer IP-Optionen manchmal falsch, was entweder zu unvollständigen oder fehlerhaften Feldern führt. Unabhängig von den Absichten der Person, die das Paket erstellt hat, ist die falsche Formatierung anomal und potenziell schädlich für den beabsichtigten Empfänger. Siehe Abbildung 4.

Abbildung 4: Falsch formatierte IP-Optionen

Wenn Sie die Option "Schutzbildschirm für ungültige IP-Adressen" aktivieren, blockiert Junos OS Pakete, wenn eine IP-Option im IP-Paket-Header falsch formatiert ist. Darüber hinaus zeichnet Junos OS das Ereignis im Ereignisprotokoll auf.

Dieses Beispiel zeigt, wie große ICMP-Pakete mit falsch formatierten Optionen blockiert werden.

Basierend auf dem neuesten IANA-Protokollnummerndokument sind die Protokolltypen mit ID-Nummern von 143 oder höher reserviert und zu diesem Zeitpunkt nicht definiert. Gerade weil diese Protokolle nicht definiert sind, gibt es keine Möglichkeit, im Voraus zu wissen, ob ein bestimmtes unbekanntes Protokoll gutartig oder bösartig ist.

Sofern Ihr Netzwerk kein nicht standardmäßiges Protokoll mit einer ID-Nummer von 143 oder höher verwendet, sollten Sie solche unbekannten Elemente daran hindern, in Ihr geschütztes Netzwerk einzudringen. Siehe Abbildung 5.

Abbildung 5: Unbekannte Protokolle

Wenn Sie die Option "Schutzbildschirm für unbekanntes Protokoll" aktivieren, verwirft Junos OS Pakete, wenn das Protokollfeld standardmäßig die Protokoll-ID-Nummer 143 oder höher enthält.

In diesem Beispiel wird gezeigt, wie Pakete mit einem unbekannten Protokoll verworfen werden.

Junos OS bietet die administrative Option zum Konfigurieren einer Zulassungsliste vertrauenswürdiger IP-Adressen auf dem Bildschirm des IP-Blockfragments. Wenn Sie die IP-Blockfragmentierung in einer Zone aktivieren, verweigert Junos OS IP-Fragmente und blockiert alle IP-Paketfragmente. Alle fragmentierten IP-Pakete werden verworfen. Um zu vermeiden, dass diese Pakete verworfen werden, und stattdessen zuzulassen, dass diese Pakete die Überprüfung der IP-Blockfragmentfragmentierung umgehen, müssen Sie die Zulassungsliste für IP-Blockfragmente konfigurieren.

Wenn Sie die Zulassungsliste auf dem Bildschirm "IP-Blockfragment" konfigurieren, umgeht der Datenverkehr von Quelladressen in den Zulassungslistengruppen die Überprüfung der IP-Blockfragmentierung. Die Zulassungsliste für IP-Blockfragmente unterstützt sowohl IPv4- als auch IPv6-Adressen, und in jeder Zulassungsliste können bis zu 32 IP-Adresspräfixe enthalten sein. Sie können eine einzelne Adresse oder eine Subnetzadresse konfigurieren.