トップページ/動作検証 ネットワーク系/tcp intercept - DynagenでCCIEを目指す

1. 目的

• tcp interceptを使用したsyn flood対策について考察します。

2. 構成

2.1. 設定概要

• 初期設定はIPアドレスのみです。
• Host OS側でApacheを起動させます。
• Guest OS側には、sendipがインストールされているものとします。(hpingに乗り換えました)
• Guest OS側には、hpingがインストールされているものとします。hpingはyumで簡単にインストールする事ができます。
• Guest OS側に、syn flood攻撃を行うスクリプトを配置します。

2.2. 構成図

2.3. netファイル

model = 3620
[localhost]
	
	[[3620]]
		image = C:\Program Files\Dynamips\images\c3620-j1s3-mz.123-18.bin
		ram = 128
	
	[[ROUTER R1]]
		f0/0 = NIO_gen_eth:\Device\NPF_{8B89D910-5ED3-4A43-9DE9-6A272A3D7592}
		f1/0 = NIO_gen_eth:\Device\NPF_{5933302A-7AAA-475C-A8FE-A6B82B0C0F98}

2.4. 初期設定

• R1

!
version 12.3
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname R1
!
boot-start-marker
boot-end-marker
!
!
no aaa new-model
ip subnet-zero
!
!
no ip domain lookup
!
ip cef
!
!
!
!
!
!
!
!
!
!
!
!
!
!
!
interface FastEthernet0/0
 ip address 192.168.200.1 255.255.255.0
 duplex auto
 speed auto
!
interface FastEthernet1/0
 ip address 192.168.201.1 255.255.255.0
 duplex auto
 speed auto
!
ip http server
ip classless
!
!
no cdp run
!
!
!
!
!
!
line con 0
line aux 0
line vty 0 4
!
!
end

2.5. Apache 設定

ホストOSにApacheをインストールし、ポートベースのバーチャルホストを定義します。構築方法はトップページ/手順書 サーバ系/Apache HTTP Server バーチャルホストの設定を参考にして下さい。
この検証例で実際に使用したhttpd.confの要所となる部分を以下に記載します。

Listen 10880
Listen 10881
Listen 10882

NameVirtualHost *:10880
NameVirtualHost *:10881
NameVirtualHost *:10882

<VirtualHost *:10880>
    DocumentRoot "C:/Program Files/Apache Software Foundation/Apache2.2/htdocs"
</VirtualHost>

<VirtualHost *:10881>
    DocumentRoot "C:/Program Files/Apache Software Foundation/Apache2.2/htdocs10881"
</VirtualHost>

<VirtualHost *:10882>
    DocumentRoot "C:/Program Files/Apache Software Foundation/Apache2.2/htdocs10882"
</VirtualHost> 

2.6. syn flood攻撃スクリプトの作成

以下のようなスクリプトを作成し、Guest OSからHost OSへSyn flood攻撃が行えるようにします。
なお、変数DELAYで定義されたsyn flood攻撃を行う間隔は適宜変更して下さい。マシンスペックによっては、攻撃間隔が短すぎるとパケットキャプチャに失敗してしまいます。

#!/bin/sh
DELAY=0.04
while true :
do
sport=$RANDOM
dport=10880
#sendip -d '' -p ipv4 -p tcp -is 192.168.201.101 -ts $sport -td $dport 192.168.200.100
hping 192.168.200.100 -S -p $dport -s $sport -c 1 > /dev/null 2>&1
echo sport:${sport}
sleep $DELAY
done

2.7. iptablesの設定

syn flood攻撃を成功させるためには、SYN + ACKを無視しなければなりません。iptablesデフォルト設定では、SYN + ACKに対してRSTを返す設定になっている可能性があります。
私の場合は、送信元ポート10880であるものを無視するように設定しました。設定例は以下の通りです。

[root@localhost ~]# cat /etc/sysconfig/iptables
*filter

:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]

-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m tcp -p tcp --sport 10880 -j DROP <- syn flood攻撃を成功させるために、SYN + ACKを無視します。
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 25 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 10022 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited

COMMIT

2.8. サーバ側 ルーティング設定

• Host OS

route add 192.168.201.0 mask 255.255.255.0 192.168.200.1

• Guest OS

route add -net 192.168.200.0/24 gw 192.168.201.1

3. [検証] 基本設定

3.1. 設定の投入

Guest OSからHost OSの方向へのtcp interceptを定義します。設定方法は以下の通りです。

R1(config)#ip access-list extended INTERCEPT
R1(config-ext-nacl)#permit ip 192.168.201.0 0.0.0.255 192.168.200.0 0.0.0.255
R1(config-ext-nacl)#exit
R1(config)#
R1(config)#interface FastEthernet 1/0
R1(config-if)#ip access-group INTERCEPT in
R1(config-if)#exit
R1(config)#
R1(config)#
R1(config)#ip tcp intercept list INTERCEPT
command accepted, interfaces with mls configured might cause inconsistent behavior

R1(config)#

3.2. Syn flood攻撃の実行

syn flood攻撃スクリプトを実行します。

[root@localhost ~]# ./syn_flood.sh
27394
27376
28092

3.3. tcp interceptの確認

ルータR1のコンソール上に、tcp interceptが働いた旨のメッセージが表示された事を確認します。
また、show tcp intercept statisticsコマンドでリセットされたコネクション数を確認します。

R1#
*Mar  1 00:29:32.419: %TCP-6-INTERCEPT: getting aggressive, count (1100/1100) 1 min 1
R1#
R1#
R1#show tcp intercept statistics
Intercepting new connections using access-list INTERCEPT
1100 incomplete, 0 established connections (total 1100) <- 1100のハーフコネクションが存在するという意味です。
1307 connection requests per minute                     <- 1307のコネクションがリセットされたという意味です。
R1#

4. [検証] interceptモードとwatchモード

4.1. 概要

Interceptモードの場合、ルータが着信してくる全てのSYNパケットを横取りして、SYN/ACKを サーバの代わりに送信します。外部のクライアントからAckを受信すると、オリジナルSYNパケットをサーバに送信して、ルータはサーバと3way-handshakeします。
一方、watchモードの場合、SYNパケットをサーバへ転送しますが、established状態になるまで見ています。もしも30秒以内にestablishされない場合は、RSTパケットをサーバに送信しコネクションをリセットします。

4.2. interceptモード

interceptモードの場合のパケットを観察します。デフォルトはinterceptモードなので特に設定は要りませんが、明示的に入力したい場合は以下のコマンドを実行します。

R1(config)#ip tcp intercept mode intercept

Fa0/0, Fa1/0でパケットキャプチャの準備をし、syn flood攻撃スクリプトを実行します。
ルータとGeust OS間のパケットは以下の通りです。

#ref error ：ご指定のファイルが見つかりません。ファイル名を確認して、再度指定してください。 (100%)

;

ルータとHost OS間のパケットは以下の通りです。syn flood攻撃がHost OSまで届いていない事が確認できます。

#ref error ：ご指定のファイルが見つかりません。ファイル名を確認して、再度指定してください。 (100%)

;

4.3. watchモード

watchモードの場合のパケットを観察します。以下のコマンドを実行し、watchモードに変更します。

R1(config)#ip tcp intercept mode watch

Fa0/0, Fa1/0でパケットキャプチャの準備をし、syn flood攻撃スクリプトを実行します。
ルータとGeust OS間のパケットは以下の通りです。

#ref error ：ご指定のファイルが見つかりません。ファイル名を確認して、再度指定してください。 (100%)

;

ルータとHost OS間のパケットは以下の通りです。interceptモードと異なり、ある程度syn flood攻撃がHost OSに届いてしまっている事が読み取れます。また、30秒経ってもコネクションが確立されない通信に対し、ルータがHost OSに対してRSTを送信している様子が読み取れます。

#ref error ：ご指定のファイルが見つかりません。ファイル名を確認して、再度指定してください。 (100%)

;

5. [検証] チューニング

5.1. interceptモード

interceptモードの場合、以下のような詳細の設定を投入する事もできます。

FIN, RSTを送信した後、コネクションを何秒メモリ内に保存するかを設定できます。

R1(config)#ip tcp intercept finrst-timeout 3

コネクションを何秒メモリ内に保存するかを設定できます。

R1(config)#ip tcp intercept connection-timeout 120

コネクション数の上限を指定できます。上限を超えた場合は、アグレッシブモードになりコネクションを破棄するようになります。

R1(config)#ip tcp intercept max-incomplete high 200

コネクション数の下限を指定します。下限を下回ると、アグレッシブモードからインターセプトモードに戻ります。

R1(config)#ip tcp intercept max-incomplete low 50

１秒あたりのコネクション数の上限を指定できます。上限を超えた場合は、アグレッシブモードになりコネクションを破棄するようになります。

R1(config)#ip tcp intercept one-minute high 200

１秒あたりのコネクション数の下限を指定します。下限を下回ると、アグレッシブモードからインターセプトモードに戻ります。

R1(config)#ip tcp intercept one-minute high 50

アグレッシブモードになった場合のパケット破棄方法を選択できます。選択肢は、oldestかrandomです。デフォルト設定はoldestです。

R1(config)#ip tcp intercept drop-mode random

5.2. watchモード

watchモードの場合、以下のような詳細の設定を投入する事もできます。

以下の設定でコネクションを「見る」時間を設定する事ができます。設定時間が過ぎてもコネクションが確立されない場合は、サーバ側にRSTを送信します。デフォルトは30秒です。

R1(config)#ip tcp intercept watch-timeout 20

6. [補足] 検証失敗例

6.1. iptablesの設定漏れ

syn flood攻撃を成功させるためには、SYN + ACKに対する応答を無視し、攻撃対象サーバのACK待ちを増やす必要があります。iptablesのデフォルト設定（もしくは無効）では、RSTパケットを送信してしまうため、syn flood攻撃になっていません。
iptablesの設定が漏れていた時のGeust OS, ルータ間のパケットキャプチャは以下の通りです。

#ref error ：ご指定のファイルが見つかりません。ファイル名を確認して、再度指定してください。 (100%)

;