思科设置技巧之严防IP地址欺骗攻击

钱塘在线

本文主要面向思科器用户具体的介绍了如何防止遭受IP地址欺骗攻击，那么我们在使用中如何进行操作，下面的文章将给予你详细介绍。
互联网充满着各种安全威胁,其中之一就是IP地址欺骗。IP欺骗技术就是伪造某台主机的IP地址的技术。通过IP地址的伪装使得某台主机能够伪装另外的一台主机，而这台主机往往具有某种特权或者被另外的主机所信任。互联网操作系统（IOS）是思科特有的核心软件数据包，主要在思科路由器和交换机上实现，特别是可用它配置Cio路由器硬件，令其将信息从一个网络或桥接至另一个。可以毫不客气地说，I0S是思科器产品的动力之源。那么怎样利用思科IOS防止IP欺骗呢？
阻止IP地址
防止IP欺骗的第一步就是阻止能造成风险的IP地址。虽然攻击者可以欺骗任何IP地址，最常被欺骗的IP地址是私有IP地址（请参考RFC1918）和其它类型的共享/特别的IP地址。
例如，笔者就阻止如下的IP地址（后面紧跟着其子网掩码）从Internet访问本机：
·10.0.0.0（255.0.0.0）
·172.16.0.0（255.240.0.0）
·192.168.0.0（255.255.0.0）
·127.0.0.0（255.0.0.0）
·224.0.0.0（224.0.0.0）
·169.254.0.0（255.255.0.0）
以上所列示的是私有的在互联网上不可的IP地址，抑或是用于其它目的的IP地址，因此不应出现在互联网上。如果来自互联网的通信以其中某个IP地址为源地址，必定是欺骗性的通信。
此外，其它常被欺骗的IP地址是那些你的组织使用的任何内部IP地址。如果你正使用全部的私有IP地址，那你的范围就应该属于以上所列示的IP地址。然而，如果你正使用自己的公有IP地址范围，你就应该将其加入到以上列表中。
实施访问控制列表(ACL)
最简单的防止欺骗的方法就是对所有的互联网通信使用一个进入过滤器。进入过滤器会丢弃源地址为以上所列地址的任何数据包。换句话说，就是创建一个ACL（access control list），使之丢弃所有进入的的源地址为上述列表中IP地址的数据包。
下面是一个配置的例子：
1.Router# conf t
2.Enter configuration commands, one per line.  End with CNTL/Z.
3.Router(config)# ip access-list ext ingress-antispoof
4.Router(config-ext-nacl)# deny ip 10.0.0.0 0.255.255.255 any
5.Router(config-ext-nacl)# deny ip 172.16.0.0 0.15.255.255 any
6.Router(config-ext-nacl)# deny ip 192.168.0.0 0.0.255.255 any
7.Router(config-ext-nacl)# deny ip 127.0.0.0 0.255.255.255 any
8.Router(config-ext-nacl)# deny ip 224.0.0.0 31.255.255.255 any
9.Router(config-ext-nacl)# deny ip 169.254.0.0 0.0.255.255 any
10.Router(config-ext-nacl)# permit ip any any
11.Router(config-ext-nacl)# exit
12.Router(config)#int s0/0
13.Router(config-if)#ip access-group in
1