امنیتمیکروتیک

جلوگیری از حملات DOS و DDOS بر روی میکروتیک

جلوگیری از حملات داس و دیداس بر روی میکروتیک

همانطور که در مقاله مربوط به حملات DOS و DDOS نیز اشاره کردیم، در صورت عادی یوزر یک درخواست به سمت سرور میفرستد و سرور نیز یک پیغام به عنوان اینکه اماده برای برقراری ارتباط میباشد به سمت یوزر میفرستد و یوزر نیز یک پیام تصدیق جهت برقراری ارتباط به سمت سرور میفرستد و ارتباط بین یوزر و سرور برقرار میشود ، در این نوع حمله ها در یک لحظه یا در طی یک زمان به صورت مداوم از طریق کامپیوترهای مختلف که ممکن است خواسته یا حتی ناخواسته مورد استفاده قرار گرفته باشند، به یک سرور (با آی پی مشخص) درخواست دریافت اطلاعات می شود و به دلیل محدود بودن قدرت پردازش سرور به کاربران مشابه مواقعی که کامپیوترهای رومیزی دچار کندی یا توقف کامل می شوند، دچار وقفه در سرویس دهی یا حتی Down شدن آن می شود. برای جلوگیری از حملات DOS و DDOS بر روی میکروتیک در فایروال میکروتیک رول های زیر را اضافه می کنیم:

/ip firewall filter
add chain=forward connection-state=new action=jump jump-target=detect-ddos

add chain=detect-ddos dst-limit=32,32,src-and-dst-addresses/10s action=return
add chain=detect-ddos src-address=192.168.0.1 action=return

add chain=detect-ddos action=add-dst-to-address-list address-list=ddosed address-list-timeout=10m
add chain=detect-ddos action=add-src-to-address-list address-list=ddoser address-list-timeout=10m

add chain=forward connection-state=new src-address-list=ddoser dst-address-list=ddosed action=drop

در رول های بالا ما تعداد 32 کانکشن را در 10 ثانیه عادی فرض میکنیم و بیشتر از آن را احتمال حملات داس و دیداس میدهیم و سورس آی پی را به ادرس لیست ddoser و ای پی مقصد را به ddosed اضافه میکنیم و به مدت 10 دقیقه ارتباط این دو ادرس لیست را از یکدیگر جدا می کنیم.

برای حل حملات دیگر فیلتر RP filter نیز داریم که به صورت زیر قابل فعال کردن می باشد:

Ip setting set rp-filter=loose

Ip setting set rp-filter=strict

این فیلتر جهت جلوگیری از ip spoofing در حملات ddos میباشد با کنترل پکت های ورودی و خروجی که strict در فیلتر کردن شدت بیشتری را اعمال میکند و اگر که از مسیریابی های مثل vrrp استفاده میکنیم loose پیشنهاد میشود.

اگر روتر میکروتیک به عنوان dns در نظر گرفته شده است باید پکت های ورودی به روتر را که شامل dns میباشند دراپ کرد.

Ip firewall filter add chain=input protocol=udp dst-port=53 action=drop

Ip firewall filter add chain=input protocol=tcp dst-port=53 action=drop

برای جلوگیری از حملات داس و دیداس بر روی میکروتیک از نوع syn flood نیز می توانیم از رول زیر استفاده کنیم.

Ip setting set tcp-syncookies=yes

علی کلانتری

کارشناس شبکه CCNA , CCNP MTCNA, MTCRE, MTCTCE, MTCWE, MTCUME , MTCINE MCSA,VCP 5.5,LPIC-1,CEH

‫2 دیدگاه ها

  1. سلام روزبخیر،
    ممنون از پست خوبتون در این رابطه، توی قسمت اول که یک سری rule تعریف میکنید برای تشخیص DDOS یه آیپی 192.168.0.1 تعریف کردین ولی توضیح خاصی ندادین میخواستم بدونم به منظور چیه؟ تک آیپی خاصی یا رنج شبکمون یا چیز دیگه ای؟

    ممنون

    1. سلام و عرض ادب ، عذرخواهی بابت تاخیر در جواب نتونستم زودتر پاسخ بدم
      اون قسمت rule در واقع برای شما یک exclusion یا یک جدا کردن در نظر میگیره ، مثلا شما سروری دارید که تعداد کانکشن های خیلی بالایی به اون سرور همیشه صورت میگیره و شما نمیخواید که بلاک بشه مثل dns سرور که تعداد درخواست های خیلی زیادی همیشه به سمتش میره و شما نمیتونید اونو بلاکش کنید در نتیجه اگر خواستید یک همچین جداسازی یا exclusion ای در نظر بگیرید با اون خط رول فایروال میتونید این کار رو انجام بدید
      موفق و موید باشید و تشکر از نظر شما

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *

This site is protected by reCAPTCHA and the Google Privacy Policy and Terms of Service apply.

دکمه بازگشت به بالا