Защита от IP-спуфинга с помощью uRPF

Эта функция позволяет снизить воздействие атак, связанных с подменой IP-адресов источника (IP-спуфинга) с помощью алгоритма Unicast Reverse Path Forwarding (uRPF) на интерфейсах CPE.

Принцип работы uRPF

Алгоритм использует таблицу маршрутизации (FIB - Forwarding Information Base) для проверки пакетов следующим образом:

1. Прием пакета.

   Маршрутизатор получает пакет на интерфейсе.

2. Проверка источника.

   uRPF проверяет исходный IP-адрес пакета.

3. Обратный поиск.

   Маршрутизатор ищет в таблице FIB, через какой интерфейс он отправил бы ответный пакет этому источнику (обратный путь).

4. Обработка пакета. Дальнейшие действия зависят от выбранного режима работы uRPF:
   • Строгий режим (Strict Mode)

     Пакет должен прийти именно через тот интерфейс, который является лучшим маршрутом обратно к источнику. Если путь не совпадает, пакет отбрасывается.

     Строгий режим используется для защиты от IP-спуфинга на периметре в сетях с симметричной маршрутизацией.

   • Облегченный режим (Loose Mode)

     Пакет принимается, если в таблице маршрутизации есть хоть какой-то маршрут к источнику, независимо от интерфейса.

     Облегченный режим может использоваться в сетях с асимметричной маршрутизацией (когда путь "туда" отличается от пути "обратно").

Вы можете настроить механизм uRPF отдельно для каждого сетевого интерфейса устройства CPE. Можно использовать механизм как на обычных интерфейсах, так и на интерфейсах типа bridge.

Механизм uRPF доступен для интерфейсов с протоколами "DHCP-клиент" / "Статический IPv4-адрес" / "QMI" / "PPPoE" и недоступен для интерфейсов с протоколами "Статический IPv6-адрес" / "Отсутствует".

Вы можете настроить механизм uFPF как на самих устройствах CPE, так и в шаблонах CPE.

Чтобы настроить механизм uRPF:

1. Перейдите к настройке механизма uRPF одним из следующих способов:
   • Чтобы настроить механизм uRPF на устройстве CPE, в меню оркестратора перейдите в раздел SD-WAN, выберите устройство CPE и перейдите в раздел параметров Сеть.
   • Чтобы настроить механизм uRPF в шаблоне CPE, перейдите в меню оркестратора перейдите в раздел Шаблоны CPE, выберите шаблон CPE и перейдите в раздел параметров Сеть.
2. Создайте новый сетевой интерфейс или отредактируйте существующий.

   Если интерфейс используется в шаблоне CPE, включите для него переключатель Переопределить.

3. Если вы создаете новый сетевой интерфейс, выберите в выпадающем списке Протокол один из поддерживаемых протоколов:
   • DHCP-клиент
   • Статический IPv4-адрес
   • QMI
   • PPPoE
4. В выпадающем списке Режим uRPF выберите режим работы uRPF:
   • Строгий
   • Облегченный
5. Сохраните параметры сетевого интерфейса.
6. Примените изменения на устройстве или шаблоне CPE