Solaris: IP Spoofing su porte Ethernet

In Solaris, il parametro ip_strict_dst_multihoming eseguirà la funzione anti-IP spoofing che stai cercando. Per citare, "impostando il parametro ip_strict_dst_multihoming su 0 il sistema elimina tutti i pacchetti che sembrano originarsi da una rete collegata a un'altra interfaccia " Solaris Kernel Tuning for Security ". Per rispondere alla tua domanda: il rischio può essere risolto configurando correttamente la casella di non inoltrare pacchetti contraffatti.

Nota che questo affronta il caso semplice che hai delineato. Non penso che sarà di aiuto nel caso di routing di più reti tramite interfacce multiple. In altre parole, se avessi una route statica in modo che il traffico per 192.168.2.0/24 fosse anche instradato sull'interfaccia 1, allora non sono sicuro che Solaris lascerebbe cadere un pacchetto da 192.168.2.5 che è venuto nell'interfaccia 0. Penso che solo le reti definite dall'indirizzo associato dell'interfaccia 1 verranno eliminate.

Se stai cercando di trasformare una scatola Solaris in un router, dovresti leggere attentamente le guide come il link sopra. Solaris non è, a mio modesto parere, un ottimo sistema di router. Solaris 11 ha tuttavia aggiunto il firewall ipfw, che si avvicina alla pari con la normale scatola BSD / Linux. Se devi instradare tra reti con livelli di sicurezza diversi, dovresti farlo correttamente e NAT e / o applicare le regole del firewall.

Anche se ci possono essere modi per affrontare questo problema tramite il kernel di sistema, è anche molto facile da mitigare con altri mezzi.

Alcuni strumenti includono IPS e firewall.

Un semplice esempio di questo sarebbe tramite IPTables. Se stai lavorando su un sistema che esegue iptables, la seguente linea dovrebbe fare il trucco ...

iptables -A INPUT -i eth0 -s 192.168.0.0/24 -j DROP

Dipende anche dal tuo ambiente di rete, è plausibile che il modo in cui la rete è configurata semplicemente non permetta che ciò accada (routing / NAT / firewall).

** pubblicato a causa della richiesta **

Come dice il post precedente, il parametro ip_strict_dst_multihoming è ciò che si desidera impedire al pacchetto INCOMING. Questo parametro è disattivato per impostazione predefinita, quindi devi impostarlo su "1" perché funzioni.

Supponendo che sia spento, il pacchetto in uscita verrà inviato all'interfaccia n. 1. Lo stack non ricorda su quale porta è arrivato il pacchetto. Tutto ciò che sa è che ha un pacchetto destinato a un indirizzo 192.168.1.x. Non sa perché ha il pacchetto, da dove viene, o persino il contenuto. Tutto ciò che conosce è l'indirizzo di destinazione, che significa porta # 1.