Using CAR for Smurf Attack Mitigation，使用承诺速率控制预防smurf攻击-程序员宅基地

【实验说明】

配置路由器保护内部网络免受Smurf 攻击

【smurf攻击】

Smurf攻击以最初发动这种攻击的程序名“Smurf”来命名的。

攻击的过程是这样的：Woodlly 攻击者向一个具有大量主机和因特网连接的网络的广播地址发送一个欺骗性Ping分组（echo 请求），这个目标网络被称为反弹站点，而欺骗性Ping分组的源地址就是Woolly希望攻击的系统。

　　这种攻击的前提是，路由器接收到这个发送给IP广播地址（如206.121.73.255）的分组后，会认为这就是广播分组，并且把以太网广播地址FF:FF:FF:FF:FF:FF:映射过来。这样路由器和因特网上接收到该分组，会对本地网段中的所有主机进行广播。

　　读者肯定能够想到下面会发生什么情况。网段中的所有主机都会向欺骗性分组的IP地址发送echo响应信息。如果这是一个很大的以太网段，可以会有500个以上的主机对收到的echo请求进行回复。

　　由于多数系统都会尽快地处理ICMP传输信息，Woodlly 攻击者把分组的源地址设置为目标系统，因此目标系统都很快就会被大量的echo信息吞没，这样轻而易举地就能够阻止该系统处理其它任何网络传输，从而引起拒绝为正常系统服务。

　　这种攻击不仅影响目标系统，还影响目标公司的因特网连接。如果反弹站点具有T3连接（45Mbps），而目标系统所在的公司使用的是租用线路（56Kbps），则所有进出该公司的通讯都会停止下来。

　　这种攻击现在已经很少见,大多数的网络已经对这种攻击免疫了。在cisco路由器上配置如下可以防止将包传递到广播地址上: Router(config-if)# no ip directed-broadcast

【实验拓扑】

IOS：c2691-advsecurityk9-mz.124-11.T2.bin

【实验配置步骤】

配置上图网络为 IP service 中的 “Configuring Static NAT”
smur攻击是反射 ICMP echo 报文，因此，目标网络会出现大量的ICMP echo-relay 数据包
在R4上创建扩展访问控制列表100，匹配icmp echo-relay 数据包
创建rate-limit 规则，匹配到访问控制列表100中的流量，速率限制为64kbps
选择BC和BE 值，以适应持续爆发长度1秒和1.5秒的流量率
Bc=64000*1/8=8000 bytes
Be=Be*1.5=12000 bytes.
在R4上应用rate-limit 规则到网关的出口（串口）

【实验配置】

R4:

!创建访问控制列表匹配 icmp 的echo-relay 流量

access-list 100 permit icmp any any echo-reply

interface Serial 0/1

!设置icmp echo-relay 的流量速率为64kbps，并且将桶大小设为适应1秒-1.5秒的流量，超出的部分丢弃

rate-limit input access-group 100 64000 8000 12000 conform-action transmit exceed-action drop

interface Serial 0/0.1

rate-limit input access-group 100 64000 8000 12000 conform-action transmit exceed-action drop

【 Configuring Static NAT配置】

R1:

interface FastEthernet0/0

ip address 10.0.0.1 255.255.255.0

ip route 0.0.0.0 0.0.0.0 10.0.0.4

R6:

interface FastEthernet0/0

ip address 10.0.0.6 255.255.255.0

ip route 0.0.0.0 0.0.0.0 10.0.0.4

R4：

interface Loopback0

ip address 150.1.4.4 255.255.255.0

ip ospf network point-to-point

interface FastEthernet0/0

ip address 10.0.0.4 255.255.255.0

ip nat inside

interface Serial0/0

en fram

no sh

interface Serial0/0.1 point-to-point

ip address 155.1.0.4 255.255.255.0

frame-relay interface-dlci 405

ip nat outside

interface Serial0/1

ip address 155.1.45.4 255.255.255.0

clock rate 2000000

ip nat outside

router ospf 1

router-id 150.1.4.4

network 150.1.4.4 0.0.0.0 area 0

network 155.1.0.4 0.0.0.0 area 0

network 155.1.45.4 0.0.0.0 area 0

router bgp 1

bgp router-id 150.1.4.4

neighbor 150.1.5.5 remote-as 2

neighbor 150.1.5.5 ebgp-multihop 255

neighbor 150.1.5.5 update-source Loopback0

ip nat inside source static 10.0.0.1 150.1.4.1

ip nat inside source static 10.0.0.6 150.1.4.6

R5:

interface Loopback0

ip address 150.1.5.5 255.255.255.0

ip ospf network point-to-point

interface Serial0/0

encapsulation frame-relay

interface Serial0/0.1 point-to-point

ip address 155.1.0.5 255.255.255.0

frame-relay interface-dlci 504

interface Serial0/1

ip address 155.1.45.5 255.255.255.0

clock rate 2000000

router ospf 1

router-id 150.1.5.5

network 150.1.5.5 0.0.0.0 area 0

network 155.1.0.5 0.0.0.0 area 0

network 155.1.45.5 0.0.0.0 area 0

router bgp 2

bgp router-id 150.1.5.5

neighbor 150.1.4.4 remote-as 1

neighbor 150.1.4.4 ebgp-multihop 255

neighbor 150.1.4.4 update-source Loopback0

neighbor 150.1.4.4 default-originate

【实验验证】

R4#ping 150.1.5.5 size 500 repeat 100

Type escape sequence to abort.

Sending 100, 500-byte ICMP Echos to 150.1.5.5, timeout is 2 seconds:

注意ping的过程中有丢包，证明策略已经生效，当然如果你把size大小设置的大一些会丢的更多

!!!!!!!!!!!!!!!!!!!!!!!!!!!!.!!!!!!!!!!!!!!!!!!!!!!!.!!!!!!!!!!!!!!!!!

!!!!!!!.!!!!!!!!!!!!!!!!!!!!!!

Success rate is 97 percent (97/100), round-trip min/avg/max = 4/11/64 ms

R4#show interfaces rate-limit

Serial0/0.1

Input

matches: access-group 100

params: 64000 bps, 8000 limit, 12000 extended limit

conformed 5 packets, 520 bytes; action: transmit

exceeded 0 packets, 0 bytes; action: drop

last packet: 113600ms ago, current burst: 40 bytes

last cleared 00:03:07 ago, conformed 0 bps, exceeded 0 bps

Serial0/1

Input

matches: access-group 100

params: 64000 bps, 8000 limit, 12000 extended limit

conformed 97 packets, 48888 bytes; action: transmit

显示超出规则的部分由3个数据包，动作为丢弃

exceeded 3 packets, 1512 bytes; action: drop

last packet: 6052ms ago, current burst: 8952 bytes

last cleared 00:00:59 ago, conformed 6000 bps, exceeded 0 bps

R4#show ip access-lists 100

Extended IP access list 100

10 permit icmp any any echo-reply (100 matches)

本文转自zcm8483 51CTO博客，原文链接:http://blog.51cto.com/haolun/991694

本文链接：https://blog.csdn.net/weixin_33912246/article/details/89809565

智能推荐

c# 调用c++ lib静态库_c#调用lib-程序员宅基地

文章浏览阅读2w次，点赞7次，收藏51次。四个步骤1.创建C++ Win32项目动态库dll 2.在Win32项目动态库中添加外部依赖项 lib头文件和lib库3.导出C接口4.c#调用c++动态库开始你的表演...①创建一个空白的解决方案，在解决方案中添加 Visual C++ , Win32 项目空白解决方案的创建：添加Visual C++ , Win32 项目这......_c#调用lib

deepin/ubuntu安装苹方字体-程序员宅基地

文章浏览阅读4.6k次。苹方字体是苹果系统上的黑体，挺好看的。注重颜值的网站都会使用，例如知乎：font-family: -apple-system, BlinkMacSystemFont, Helvetica Neue, PingFang SC, Microsoft YaHei, Source Han Sans SC, Noto Sans CJK SC, W..._ubuntu pingfang

html表单常见操作汇总_html表单的处理程序有那些-程序员宅基地

文章浏览阅读159次。表单表单概述表单标签表单域按钮控件demo表单标签表单标签基本语法结构<form action="处理数据程序的url地址“ method=”get|post“ name="表单名称”></form><!--method将表单中的数据传送给服务器处理，get方式直接显示在url地址中，数据可以被缓存，且长度有限制；而post方式数据隐藏传输，_html表单的处理程序有那些

PHP设置谷歌验证器（Google Authenticator）实现操作二步验证_php otp 验证器-程序员宅基地

文章浏览阅读1.2k次。使用说明:开启Google的登陆二步验证（即Google Authenticator服务）后用户登陆时需要输入额外由手机客户端生成的一次性密码。实现Google Authenticator功能需要服务器端和客户端的支持。服务器端负责密钥的生成、验证一次性密码是否正确。客户端记录密钥后生成一次性密码。下载谷歌验证类库文件放到项目合适位置(我这边放在项目Vender下面)https://github.com/PHPGangsta/GoogleAuthenticatorPHP代码示例://引入谷_php otp 验证器

【Python】matplotlib.plot画图横坐标混乱及间隔处理_matplotlib更改横轴间距-程序员宅基地

文章浏览阅读4.3k次，点赞5次，收藏11次。matplotlib.plot画图横坐标混乱及间隔处理_matplotlib更改横轴间距

docker — 容器存储_docker 保存容器-程序员宅基地

文章浏览阅读2.2k次。①Storage driver 处理各镜像层及容器层的处理细节，实现了多层数据的堆叠，为用户提供了多层数据合并后的统一视图②所有 Storage driver 都使用可堆叠图像层和写时复制（CoW）策略③docker info 命令可查看当系统上的 storage driver主要用于测试目的，不建议用于生成环境。_docker 保存容器

随便推点

网络拓扑结构_网络拓扑csdn-程序员宅基地

文章浏览阅读834次，点赞27次，收藏13次。网络拓扑结构是指计算机网络中各组件（如计算机、服务器、打印机、路由器、交换机等设备）及其连接线路在物理布局或逻辑构型上的排列形式。这种布局不仅描述了设备间的实际物理连接方式，也决定了数据在网络中流动的路径和方式。不同的网络拓扑结构影响着网络的性能、可靠性、可扩展性及管理维护的难易程度。_网络拓扑csdn

JS重写Date函数，兼容IOS系统_date.prototype 将所有 ios-程序员宅基地

文章浏览阅读1.8k次，点赞5次，收藏8次。IOS系统Date的坑要创建一个指定时间的new Date对象时，通常的做法是：new Date("2020-09-21 11:11:00")这行代码在 PC 端和安卓端都是正常的，而在 iOS 端则会提示 Invalid Date 无效日期。在IOS年月日中间的横岗许换成斜杠，也就是new Date("2020/09/21 11:11:00")通常为了兼容IOS的这个坑，需要做一些额外的特殊处理，笔者在开发的时候经常会忘了兼容IOS系统。所以就想试着重写Date函数，一劳永逸，避免每次ne_date.prototype 将所有 ios