Diffusion ciblée

Présentation de la diffusion dirigée IP

Les paquets de diffusion dirigée IP ont une adresse IP de destination qui est une adresse de diffusion valide pour le sous-réseau cible de la diffusion dirigée (le sous-réseau cible). L’objectif d’une diffusion dirigée IP est d’inonder le sous-réseau cible avec les paquets de diffusion sans les diffuser sur l’ensemble du réseau. Les paquets de diffusion IP ne peuvent pas provenir du sous-réseau cible.

Lorsque vous envoyez un paquet de diffusion dirigée IP, le réseau le transfère de la même manière qu’un paquet unicast lorsqu’il se déplace vers le sous-réseau cible. Lorsque le paquet atteint un commutateur directement connecté au sous-réseau cible, le commutateur vérifie si la diffusion dirigée IP est activée sur l’interface directement connectée au sous-réseau cible :

• Si la diffusion dirigée IP est activée sur cette interface, le commutateur diffuse le paquet sur ce sous-réseau en réécrivant l’adresse IP de destination en tant qu’adresse IP de diffusion configurée pour le sous-réseau. Le commutateur convertit le paquet en un paquet de diffusion de couche liaison que chaque hôte du réseau traite.

• Si la diffusion dirigée IP est désactivée sur l’interface directement connectée au sous-réseau cible, le commutateur abandonne le paquet.

Mise en œuvre de la diffusion dirigée IP

Vous configurez la diffusion dirigée IP par sous-réseau en activant la diffusion dirigée IP sur l’interface de couche 3 du VLAN du sous-réseau. Lorsque le commutateur connecté à ce sous-réseau reçoit un paquet dont l’adresse de destination est l’adresse IP de diffusion du sous-réseau, il diffuse le paquet à tous les hôtes du sous-réseau.

Par défaut, la diffusion dirigée par IP est désactivée.

Quand activer la diffusion dirigée IP ?

La diffusion dirigée IP est désactivée par défaut. Activez la diffusion dirigée IP lorsque vous souhaitez exécuter des services de gestion ou d’administration à distance, tels que des sauvegardes ou des tâches WOL, sur des hôtes d’un sous-réseau qui ne dispose pas d’une connexion directe à Internet.

L’activation de la diffusion dirigée IP sur un sous-réseau n’affecte que les hôtes de ce sous-réseau. Seuls les paquets reçus sur l’interface de couche 3 du sous-réseau dont l’adresse IP de diffusion est l’adresse de destination du sous-réseau sont inondés sur le sous-réseau.

Quand ne pas activer la diffusion dirigée IP

En règle générale, vous n’activez pas la diffusion dirigée IP sur les sous-réseaux qui ont des connexions directes à Internet. La désactivation de la diffusion dirigée IP sur l’interface de couche 3 d’un sous-réseau n’affecte que ce sous-réseau. Si vous désactivez la diffusion dirigée IP sur un sous-réseau et qu’un paquet contenant l’adresse IP de diffusion de ce sous-réseau arrive au commutateur, le commutateur abandonne le paquet de diffusion.

Si un sous-réseau dispose d’une connexion directe à Internet, l’activation de la diffusion dirigée IP sur celui-ci augmente la vulnérabilité du réseau aux attaques par déni de service (DoS).

Par exemple, un attaquant malveillant peut usurper une adresse IP source (utiliser une adresse IP source qui n’est pas la source réelle de la transmission pour inciter un réseau à identifier l’attaquant comme étant une source légitime) et envoyer des diffusions IP contenant des paquets d’écho (ping) ICMP (Internet Control Message Protocol). Lorsque les hôtes sur le réseau pour lesquels la diffusion dirigée IP est activée reçoivent les paquets d’écho ICMP, ils envoient tous des réponses à la victime dont l’adresse IP source a été usurpée. Cela crée un flot de réponses ping lors d’une attaque DoS qui peut submerger l’adresse source usurpée ; C’est ce qu’on appelle une attaque de Schtroumpfs . Une autre attaque DoS courante sur les réseaux exposés pour lesquels la diffusion dirigée IP est activée est une attaque fragggle , qui est similaire à une attaque schtroumpf, sauf que le paquet malveillant est un paquet d’écho UDP (User Datagram Protocol) au lieu d’un paquet d’écho ICMP.

But

Vérifiez que la diffusion dirigée IP est activée et qu’elle fonctionne sur le sous-réseau.

Action

Utilisez la show vlans extensive commande pour vérifier que la diffusion dirigée IP est activée et fonctionne sur le sous-réseau, comme illustré dans Exemple : Configuration de la diffusion dirigée IP sur un commutateur.