信而泰BGP Flow Spec防攻擊測試解決方案

瀏覽量：

導讀：本文的主要內容也是說明Renix對于BGP Flow Spec測試的支持度以及相關測試操作。

12/23/2022，光纖在線訊，隨著互聯(lián)網(wǎng)行業(yè)的迅猛發(fā)展，越來越多的業(yè)務都從線下走到了線上�；ヂ�(lián)網(wǎng)在給大家生活帶來便利的同時也面臨著防護自身安全的各種挑戰(zhàn)。

DoS/DDoS攻擊是對網(wǎng)絡安全的重大威脅，攻擊者通過多個控制端控制成千上萬的攻擊設備對同一個目的地址、網(wǎng)段或服務器同時發(fā)起流量攻擊，導致網(wǎng)絡擁塞或服務器CPU占用過高無法提供服務。

現(xiàn)在的路由器除了具備流量轉發(fā)的功能外，還可以通過BGP Flow Specification對流量進行分類、限速、過濾和重定向等操作，這對防御DoS/DDoS攻擊非常重要。

目前，Renix軟件平臺支持BGP Flow Spec的相關功能測試。本文的主要內容也是說明Renix對于BGP Flow Spec測試的支持度以及相關測試操作。

BGP Flow Specification介紹

先簡單介紹下什么是BGP Flow Specification。

BGP Flow Specification（簡稱BGP Flow Spec）是一種用于防止DoS（Denial of Service）/DDoS（Distributed Denial of Service）攻擊的方法，可以提高網(wǎng)絡安全性和可用性。

傳統(tǒng)預防DoS/DDoS攻擊的方法有兩種，分別是流分類技術和對攻擊流量重定向，但是這兩種方法都存在缺陷，如表1所示。

★BGP Flow Spec可以解決上述缺點：
●可維護性好。[/b]使用標準協(xié)議定義的BGP網(wǎng)絡層可達信息類型來傳遞流量過濾信息，因此路由信息和流量過濾信息獨立存在。
● 提供豐富的過濾條件和處理動作，可以更有針對性地實現(xiàn)對流量的控制。

★此外，BGP Flow Spec的應用可以大大提高用戶網(wǎng)絡的安全性與可靠性，具體如下：
■實時監(jiān)控：BGP Flow Specification可以以定時采樣的方式對攻擊流量進行快速響應，實現(xiàn)對攻擊流量的控制。
■預先防護：根據(jù)常見的攻擊流量的特點，手工部署防護策略，使常見的攻擊流量沒有機會對用戶網(wǎng)絡造成危害，防患于未然。
■降低成本：不需要在每臺設備上單獨建立流量控制策略，提高可維護性。
■限制攻擊范圍：BGP Flow Specification支持跨域傳播功能，可以在盡可能靠近攻擊源的設備上消除攻擊流量對網(wǎng)絡的危害，大大降低了攻擊流量對網(wǎng)絡的影響。

Renix平臺BGP Flow Spec配置介紹

在RFC 5575中定義了解碼Flow Spec的標準程序，使BGP路由具備更為豐富的屬性并可執(zhí)行限速、過濾和重定向等行為。接下來介紹Renix對于BGP Flow Spec測試的支持度。

▶1. 支持IPv4 Flow Spec和IPv6 Flow Spec。

▶2. IPv4 Flow Spec支持12種匹配規(guī)則。

不同Type對應不同的字段，具體匹配規(guī)則內容如表2

▶3. IPv4 Flow Spec支持5種路由策略。

每一種路由策略的具體作用如表3：

▶4. IPv6 Flow Spec支持2種匹配規(guī)則。

每一種規(guī)則具體匹配的內容如表4：

▶5. IPv6 Flow Spec支持4種路由策略。

每一種路由策略的具體作用如表5：

▶6. SubAFI支持配置為FlowSpecVpn。
將SubAFI配置為FlowSpecVpn時，可以配置VRF的相關參數(shù)，如指定VRF路由目標、指定VRF路由標識符等配置。

▶7. 支持配置Multi Exit Discriminator、Local Preference、Cluster ID List等參數(shù)。
當使能Multi Exit Discriminator為選中狀態(tài)時配置MULTI_EXIT_DISC屬性；當Enable Local preference為選中狀態(tài)時配置Local_PREF的值；當仿真路由器作為BGP路由反射器時配置uster ID list的值。

▶8. 支持查看學到的Flow Spec路由策略和匹配規(guī)則。
BGP會話使能查看路由，運行測試，點擊查看BGP路由，可以查看學到的Flow Spec路由策略和匹配規(guī)則。

BGP Flow Spec測試示例

說完Renix平臺BGP Flow Spec的相關配置之后，接下來以BGP Flow Spec防攻擊測試為例，演示如何使用Renix平臺進行測試。主要是在測試儀A、B端口之間建立正常業(yè)務流量和攻擊流量，對比設備在使能BGP Flow Spec功能前后流量的收發(fā)情況，驗證被測設備BGP Flow Spec功能。

主要步驟如下：

☑1. 按照如下測試拓撲進行組網(wǎng)：

DUT1和DUT2建立雙棧IBGP，DUT2為路由反射器，DUT1為客戶端。

☑2. 在測試儀表A、B端口之間構造3條IPv4流量：

第1條流為正常業(yè)務流，源IP為100.1.1.2，目的IP為200.1.1.254（測試儀端口B），目的端口80；

第2條流模擬ICMP FLOOD攻擊，目的地址為200.1.1.254；

第3條流模擬TCP SYNFLOOD攻擊，源IP為100.1.1.133, 目的IP為200.1.1.254，目的端口80。

☑3. 發(fā)送所有流量，在測試儀B端口可以正常收到所有流量。

☑4. 配置DUT1和DUT2使能BGP FLOWSPEC功能。

儀表端口C與DUT2建立BGP鄰居關系，并通過BGP FLOWSPEC向DUT2配置流量信息，通告DUT1對步驟3中的ICMP/ND FLOOD、TCP SYNFLOOD和UDP FLOOD攻擊流量進行過濾。對ICMP/ND FLOOD攻擊進行阻斷，對TCP/SYNFLOOD和UDP FLOOD攻擊限制速度為10Mb/s。

測試儀C端口通告的BGP Flow Spec路由。