|
Начало
Сетевая часть
Reverse Path Filtering, и засада в Debian GNU/Linux Reverse Path Filtering (RPF) -- средство борьбы против IP-спуфинга. Упрощённо, алгоритм его реализации в Linux примерно такой. Пусть с интерфейса $IF пришёл пакет с src_ip==$S и dst_ip==$D. В таблицах маршрутизации ищется маршрут для пакетов, идущих в обратную сторону, т.е. с src_ip==$D и dst_ip==$S. Если такого маршрута нет, или он идёт не через $IF, то пакет отбрасывается.
Включать и выключать rp_filter можно через sysctl-переменную rp_filter, отдельно для каждого интерфейса. Подробнее об этом сказано в документации из исходников ядра: Documentation/networking/ip-sysctl.txt. В Debian по умолчанию RPF включен для всех интерфейсов, на что и нарываются те, кто начинает настраивать динамическую маршрутизацию, например BGP с несколькими аплинками. Чтобы отключить это в Debian, нужно отредактировать строчку про spoofprotect в файле /etc/network/options.
Рекомендуется включать RPF для тех интерфейсов, за которыми находятся leaf networks, т.е. клиентские сети, выходящие во внешний мир только через этот роутер.
Создано: Vladimir B. Savkin
| 
