RFC 2827: Ingress Filtering gegen gefälschte Quelladressen

Zusammenfassung

RFC 2827 empfiehlt Providern, Pakete mit unplausiblen Quelladressen am Eintritt zu verwerfen. Missbrauchsschutz funktioniert am besten nahe der Quelle.

Ideen

• Netzgrenzen kennen die erwartbaren Quellpräfixe ihrer Kunden.
• Filter erschweren Quelladressfälschung.
• Weniger Spoofing reduziert reflektierte DDoS-Angriffe.

Einsichten

• Globale Sicherheit hängt von vielen lokalen Betriebsentscheidungen ab.

Fakten

• RFC 2827 ersetzt RFC 2267.

Bemerkungen

• RFC 2827 trägt den Status „Bewährte Praxis“; aktuelle Errata und Nachfolgedokumente bleiben zusätzlich zu prüfen.

Empfehlungen

• Aktiviere BCP-38-Filter an Kunden- und Standortgrenzen.
• Berücksichtige asymmetrische Pfade bei strikten Prüfungen.

Referenzen

• RFC 2827: Network Ingress Filtering: Defeating Denial of Service Attacks which employ IP Source Address Spoofing

RFC beim RFC Editor lesen →

Im Webarchiv suchen

Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.