請教一下大家:各網(wǎng)絡(luò)運營商有能力完全阻止源IP欺騙嗎?

abc3w

有些攻擊使用欺騙性源地址發(fā)送請求,網(wǎng)絡(luò)運營商能完全阻止嗎?現(xiàn)在還可能有這種情況嗎?

[ 本帖最后由 abc3w 于 2006-4-20 21:24 編輯 ]

ayazero

當(dāng)然不能

abc3w

不是說NAT,不知道怎么表達(dá),表達(dá)不清.

例如:  ADSL上網(wǎng)或其它接入方式上網(wǎng), IP是 202.202.202.202,但該網(wǎng)絡(luò)發(fā)送出源地址非202.202.202.202的數(shù)據(jù)包,這樣的包ISP是怎么處理的?

zhangzzs

ISP基本上不會管這些的，要不他們路由的負(fù)荷得多大呀.

abc3w

不了解路由協(xié)議,不知道ISP是不能管還是不管.
如果能的話,一部份TCP拒絕服務(wù)是不是可能得到一定的緩減?

cnadl

不需要路由協(xié)議，cisco和juniper都有類似的特性，但是運營商們才不會開呢，drop的流量是不算流量的

colddawn

防止這個需要在運營商設(shè)備上作acl或者策略路由，丟掉外出方向源ip地址非本地的包，但是這些設(shè)置都會占用不小的設(shè)備資源。不做規(guī)則，頂多是出流量大些，只要不跑滿自己出口帶寬的話影響不大，但作了規(guī)則之后，大量的ip頭查詢很有可能將自己設(shè)備負(fù)載扯到非常高，甚至影響設(shè)備對正常流量的轉(zhuǎn)發(fā)能力。與其自己死不如讓別人死了，反正不是自己干的就免則，憑目前國內(nèi)運營商的聯(lián)動能力受害方基本也找不到源頭，所以多一事不如少一事。
個人感覺流量費用的原因不會太大。

cnadl

以cisco設(shè)備為例：

http://www.cisco.com/en/US/produ ... 186a00804fdef9.html

只要設(shè)備支持CEF即可，并且不會對設(shè)備性能造成太大壓力。

colddawn

第一次接觸CEF這個東西，我所說負(fù)載高是一些前人的經(jīng)驗，請問樓上“不會對設(shè)備性能造成太大壓力”是在何種環(huán)境下測試得出？如果有詳細(xì)數(shù)據(jù)那最好不過了，對于此類欺騙源ISP應(yīng)該負(fù)上一定責(zé)任，但目前的普遍情況是很少有ISP關(guān)心這方面的東西，不明白真的是有這么好的技術(shù)沒人用，還是技術(shù)實施局限大？

abc3w

聽說一些ISP有端口IP綁定等措施來解決這些問題,那么RDDOS等類似攻擊會不會因此退出舞臺?