- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
11-uRPF配置
本章节下载： 11-uRPF配置 (213.66 KB)
uRPF（unicast Reverse Path Forwarding，单播反向路径转发）是一种单播逆向路由查找技术，用来防范基于源地址欺骗的攻击手段，例如基于源地址欺骗的DoS（Denial of Service，拒绝服务）攻击和DDoS（Distributed Denial of Service，分布式拒绝服务）攻击。
对于使用基于IP地址验证的应用来说，基于源地址欺骗的攻击手段可能导致未被授权用户以他人，甚至是管理员的身份获得访问系统的权限。因此即使响应报文没有发送给攻击者或其它主机，此攻击方法也可能会造成对被攻击对象的破坏。
如图1-1所示，攻击者在Switch A上伪造并向Switch B发送大量源地址为2.2.2.1的报文，Switch B响应这些报文并向真正的“2.2.2.1”（Switch C）回复报文。因此这种非法报文对Switch B和Switch C都造成了攻击。如果此时网络管理员错误地切断了Switch C的连接，可能会导致网络业务中断甚至更严重的后果。
攻击者也可以同时伪造不同源地址的攻击报文或者同时攻击多个服务器，从而造成网络阻塞甚至网络瘫痪。
uRPF可以有效防范上述攻击。一般情况下，设备在收到报文后会根据报文的目的地址对报文进行转发或丢弃。而uRPF可以在转发表中查找报文源地址对应的接口是否与报文的入接口相匹配，如果不匹配则认为源地址是伪装的并丢弃该报文，从而有效地防范网络中基于源地址欺骗的恶意攻击行为的发生。
uRPF检查有严格（strict）型和松散（loose）型两种。
不仅检查报文的源地址是否在转发表中存在，而且检查报文的入接口与转发表是否匹配。
在一些特殊情况下（如非对称路由，即设备上行流量的入接口和下行流量的出接口不相同），严格型uRPF检查会错误地丢弃非攻击报文。
一般将严格型uRPF检查布置在ISP的用户端和ISP端之间。
仅检查报文的源地址是否在转发表中存在，而不再检查报文的入接口与转发表是否匹配。
松散型uRPF检查可以避免错误的拦截合法用户的报文，但是也容易忽略一些攻击报文。
一般将松散型uRPF检查布置在ISP-ISP端。另外，如果用户无法保证路由对称，可以使用松散型uRPF检查。
uRPF的处理流程如图1-2所示。
图1-2 uRPF处理流程图
(1) 检查源地址合法性：
· 对于源地址为广播地址的报文，直接丢弃。
· 对于源地址是全零地址的报文，如果目的地址不是广播，则丢弃。（源地址为0.0.0.0，目的地址为255.255.255.255的报文，可能是DHCP报文，不做丢弃处理。）
· 否则，进入步骤（2）。
(2) 检查报文的源地址在FIB表中是否存在匹配的路由。如果存在，则进入步骤（3），否则进入步骤（6）；
(3) 查看是否是loose型检查，如果是，则进入步骤（8），否则查看报文的源地址在FIB表中匹配的路由是否是直连路由。如果是直连路由，则进入步骤（5），否则进入步骤（4）；
(4) 检查报文入接口和FIB表中的出接口是否匹配。即反向查找报文出接口（反向查找是指查找以该报文源IP地址为目的IP地址的报文的出接口），如果其中至少有一个出接口和报文的入接口相匹配，则进入步骤（8），否则进入步骤（9）；
(5) 检查报文的源IP地址在ARP表中是否存在匹配的ARP表项。如果在ARP表中查找失败，则进入步骤（9）；否则进入步骤（8）；
(6) 检查FIB表中是否存在缺省路由，如果没有存在缺省路由，则进入步骤（9）；否则进入步骤（7）；
(7) 查看是否是loose型检查，如果是，则进入步骤（8）；否则检查缺省路由的出接口是否与报文的入接口一致，如果一致，则进入步骤（8），否则进入步骤（9）；
(8) 报文通过检查，进行正常转发；
(9) 交换机丢弃该报文。
组播报文不进行uRPF检查。
图1-3 uRPF典型组网应用
通常在ISP上配置uRPF，在ISP与用户端，配置严格型uRPF检查，在ISP与ISP端，配置松散型uRPF检查。
用户可在全局、接口上配置uRPF功能：全局配置对设备的所有接口生效；接口配置只对当前接口生效。
配置uRPF时，需要注意：
· 当接口和全局同时配置uRPF功能时，优先采用接口配置。
· uRPF检查仅对接口收到的报文有效。
· 当交换机开启uRPF功能时，会出现路由规格减半情况（路由规格减半情况为：交换机支持的最大可容纳的路由数，在开启uRPF功能后变为开启前的一半）。
· 当交换机的路由数超过该交换机可最大容纳的路由数一半时，uRPF功能将不能开启，避免了路由表项丢失以及由其引起的数据包丢失。
· VLAN接口既可配置为strict模式，又可配置为loose模式；三层以太网接口、三层以太网子接口、三层聚合接口和三层聚合子接口只支持loose模式，即使配置为strict模式，依然会按照loose模式进行uRPF检查。
表1-1 配置全局uRPF
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
在全局下打开uRPF功能 |
ip urpf { loose | strict } |
缺省情况下，uRPF功能处于关闭状态 |
表1-2 配置接口uRPF
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入接口视图 |
interface interface-type interface-number |
可支持三层以太网接口视图/三层以太网子接口视图/三层聚合接口视图/三层聚合子接口视图/VLAN接口视图 |
|
在接口下打开uRPF功能 |
ip urpf { loose | strict } |
缺省情况下，uRPF功能处于关闭状态 |
在完成上述配置后，在任意视图下执行display命令可以显示配置uRPF后的运行情况，通过查看显示信息验证配置的效果。
表1-3 uRPF显示和维护
|
配置步骤 |
命令 |
|
显示uRPF的配置应用情况（独立运行模式） |
display ip urpf [ interface interface-type interface-number ] [ slot slot-number ] |
|
显示uRPF的配置应用情况（IRF模式） |
display ip urpf [ interface interface-type interface-number ] [ chassis chassis-number slot slot-number ] |
· 客户交换机Switch A与ISP交换机Switch B直连，在Switch B的VLAN接口10上配置严格型uRPF检查，源地址在ACL 2010中的报文在任何情况下都能通过检查。
· 在Switch A的VLAN接口10上配置严格型uRPF检查，同时允许匹配缺省路由。
图1-4 uRPF配置举例组网图
(1) 配置Switch B
# 配置ACL 2010，允许10.1.1.0/24网段的流量通过uRPF检查。
<SwitchB> system-view
[SwitchB] acl basic 2010
[SwitchB-acl-ipv4-basic-2010] rule permit source 10.1.1.0 0.0.0.255
[SwitchB-acl-ipv4-basic-2010] quit
# 创建VLAN 10。
[SwitchB] vlan 10
[SwitchB-vlan10] quit
# 配置VLAN接口10的IP地址。
[SwitchB] interface vlan-interface 10
[SwitchB-Vlan-interface10] ip address 1.1.1.2 255.255.255.0
# 在VLAN接口10上配置严格型uRPF检查。
[SwitchB-Vlan-interface10] ip urpf strict acl 2010
(2) 配置Switch A
# 创建VLAN 10。
<SwitchA> system-view
[SwitchA] vlan 10
[SwitchA-vlan10] quit
# 配置VLAN接口10的IP地址。
[SwitchA] interface vlan-interface 10
[SwitchA-Vlan-interface10] ip address 1.1.1.1 255.255.255.0
# 在VLAN接口10上配置严格型uRPF检查，同时允许匹配缺省路由。
[SwitchA-Vlan-interface10] ip urpf strict allow-default-route
客户交换机Switch A与ISP交换机Switch B直连，在Switch B和Switch A上启动严格型uRPF检查，防止基于源地址欺骗的网络攻击行为。
图1-5 uRPF配置举例组网图
(1) 配置Switch A
# 配置严格型uRPF检查。
<SwitchA> system-view
[SwitchA] ip urpf strict
(2) 配置Switch B
# 配置严格型uRPF检查
<SwitchB> system-view
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
