Diffusion ciblée

Présentation de la diffusion ciblée

Les paquets de diffusion ciblés ont une adresse IP de destination qui est une adresse de diffusion valide pour le sous-réseau qui est la cible de la diffusion dirigée (le sous-réseau cible). L’objectif d’une diffusion ciblée est d’inonder le sous-réseau cible avec les paquets de diffusion sans les diffuser sur l’ensemble du réseau. Les paquets de diffusion ciblés ne peuvent pas provenir du sous-réseau cible.

Lorsque vous envoyez un paquet de diffusion ciblé, le réseau le transfère de la même manière qu’un paquet unicast lorsqu’il se déplace vers le sous-réseau cible. Lorsque le paquet atteint un commutateur directement connecté au sous-réseau cible, celui-ci vérifie si la diffusion ciblée est activée sur l’interface directement connectée au sous-réseau cible :

• Si la diffusion ciblée est activée sur cette interface, le commutateur diffuse le paquet sur ce sous-réseau en réécrivant l’adresse IP de destination en tant qu’adresse IP de diffusion configurée pour le sous-réseau. Le commutateur convertit le paquet en un paquet de diffusion de couche liaison que chaque hôte du réseau traite.

• Si la diffusion ciblée est désactivée sur l’interface directement connectée au sous-réseau cible, le commutateur abandonne le paquet.

Mise en œuvre d’une diffusion ciblée

Vous configurez la diffusion ciblée par sous-réseau en activant la diffusion ciblée sur l’interface L3 du VLAN du sous-réseau. Lorsque le commutateur connecté à ce sous-réseau reçoit un paquet dont l’adresse de destination est l’adresse IP de diffusion du sous-réseau, il diffuse le paquet à tous les hôtes du sous-réseau.

Par défaut, la diffusion ciblée est désactivée.

Quand activer la diffusion ciblée ?

La diffusion ciblée est désactivée par défaut. Activez la diffusion ciblée lorsque vous souhaitez exécuter des services de gestion ou d’administration à distance, tels que des sauvegardes ou des tâches WOL, sur des hôtes d’un sous-réseau qui ne dispose pas d’une connexion directe à Internet.

L’activation de la diffusion ciblée sur un sous-réseau n’affecte que les hôtes de ce sous-réseau. Seuls les paquets reçus sur l’interface L3 du sous-réseau dont l’adresse IP de diffusion est l’adresse de destination du sous-réseau sont inondés sur le sous-réseau.

Quand ne pas activer la diffusion ciblée

En règle générale, vous n’activez pas la diffusion ciblée sur les sous-réseaux qui ont des connexions directes à Internet. La désactivation de la diffusion ciblée sur l’interface L3 d’un sous-réseau n’affecte que ce sous-réseau. Si vous désactivez la diffusion ciblée sur un sous-réseau et qu’un paquet contenant l’adresse IP de diffusion de ce sous-réseau arrive au commutateur, celui-ci abandonne le paquet de diffusion.

Si un sous-réseau dispose d’une connexion directe à Internet, l’activation d’une diffusion ciblée sur celui-ci augmente la vulnérabilité du réseau aux attaques DoS.

Un attaquant malveillant peut usurper une adresse IP source pour tromper un réseau afin qu’il identifie l’attaquant comme légitime. L’attaquant peut ensuite envoyer des diffusions ciblées avec des paquets d’écho (ping) ICMP. Lorsque les hôtes du réseau sur lesquels la diffusion ciblée est activée reçoivent les paquets d’écho ICMP, ils envoient des réponses à la victime qui possède l’adresse IP source usurpée. Les réponses créent un flot de réponses ping lors d’une attaque DoS qui peut submerger l’adresse source usurpée connue sous le nom d’attaque schtroumpf . Une autre attaque DoS courante sur les réseaux exposés pour lesquels la diffusion ciblée est activée est l’attaque fraggle . L’attaque est similaire à une attaque schtroumpf, sauf que le paquet malveillant est un paquet d’écho UDP au lieu d’un paquet d’écho ICMP.

But

Vérifiez que la diffusion ciblée est activée et qu’elle fonctionne sur le sous-réseau.

Action

Utilisez la show vlans extensive commande pour vérifier que la diffusion ciblée est activée et fonctionne sur le sous-réseau.