MAC 주소 플러딩이란 무엇인가요?

MAC 주소 플러딩은 ARP 플러딩 공격이라고도 하며, RP 플러딩 공격은 서비스 거부 공격 DoS(서비스 거부)라고도 합니다.

두 가지 주요 시나리오가 있습니다.

1. 장치는 ARP 패킷을 처리하고 ARP 항목을 유지하기 위해 시스템 리소스를 소비합니다. 동시에 ARP 항목 쿼리 효율성 요구 사항을 충족하기 위해 일반 장치에는 ARP 항목 크기에 대한 사양 제한이 있습니다.

공격자는 이를 이용하여 소스 IP 주소가 변경된 다수의 ARP 패킷을 위조하여 유효하지 않은 ARP 항목으로 인해 장치의 ARP 테이블 리소스가 고갈되고 합법적인 사용자의 ARP 패킷이 계속해서 실행될 수 없게 됩니다. ARP 항목을 생성하면 정상적인 통신이 중단됩니다.

2. 공격자가 도구를 사용하여 이 네트워크 세그먼트의 호스트를 검색하거나 네트워크 세그먼트 전체를 검색하면 확인할 수 없는 대상 IP 주소가 포함된 대량의 IP 패킷을 장치로 전송하여 장치에서 또한 다수의 임시 ARP 항목을 전달하고 대상 IP 주소를 해결하기 위해 다수의 ARP 요청 메시지를 브로드캐스트하므로 CPU(중앙 처리 장치)에 과부하가 발생합니다.

MAC 플러딩 방지 방법

1. ARP 패킷 속도 제한 기능 구성

1.1 소스 MAC 주소를 기반으로 ARP 속도 제한 구성

소스 MAC 주소를 기반으로 ARP 패킷의 속도를 제한하도록 게이트웨이 장치를 구성할 수 있습니다. 장치는 소스 MAC 주소를 기반으로 CPU로 전송된 ARP 패킷에 대한 통계를 수집합니다. 1초 이내에 동일한 소스 MAC 주소로 수신된 ARP 패킷이 설정된 임계값(ARP 패킷 속도 제한)을 초과하면 장치는 해당 패킷을 폐기합니다. .임계값을 초과하는 ARP 패킷.

1.2. 소스 IP를 기반으로 ARP 패킷 속도 제한 구성

소스 IP 주소를 기반으로 ARP 패킷 속도를 제한하도록 게이트웨이 장치의 장치를 구성할 수 있습니다. 장치는 소스 IP 주소를 기반으로 CPU로 전송된 ARP 패킷에 대한 통계를 수집합니다. 1초 이내에 동일한 소스 IP 주소로 수신된 ARP 패킷이 설정된 임계값(ARP 패킷 속도 제한)을 초과하면 장치는 해당 패킷을 폐기합니다. .임계값을 초과하는 ARP 패킷.

동일한 소스 IP 주소의 ARP 패킷 속도가 30pps를 초과하는 경우, 게이트웨이가 동일한 네트워크 세그먼트에 있는 많은 사용자의 MAC 주소를 요청하는 경우 해당 장치 IP의 ARP 패킷 소스를 늘려야 합니다. 그렇지 않으면 30pps를 초과하는 ARP 패킷이 폐기되어 게이트웨이가 ARP를 매우 느리게 학습하게 됩니다.

ARP 스캐닝 공격 시나리오인 경우 ARP 패킷을 줄여야 합니다. 장치 소스 IP 주소 억제 비율 값입니다.

1.3. 글로벌, VLAN, 인터페이스를 기반으로 ARP 패킷 속도 제한을 구성합니다.

게이트웨이 장치에서는 다음 구성을 수행하는 것이 좋습니다.

액세스 장치에 MFF 기능을 배포할 때 MFF 모듈이 너무 많은 통과 ARP 패킷을 처리하는 것을 방지하기 위해(즉, ARP 패킷의 대상 IP 주소가 ARP 패킷의 대상 IP 주소가 아닌 경우) 패킷을 수신하는 인터페이스) CPU가 과부하된 경우 액세스 장치의 글로벌, VLAN 및 인터페이스에 대한 ARP 패킷 속도 제한 기능을 배포할 수 있습니다.

1.4. Super VLAN의 VLANIF 인터페이스에 대한 ARP 패킷 속도 제한을 구성합니다.

다음 두 가지 상황에서는 Super VLAN의 VLANIF 인터페이스가 ARP 학습을 수행합니다.

VLANIF 인터페이스는 ARP Miss 메시지를 트리거하는 IP 패킷을 수신합니다.

VLANIF 인터페이스에서 ARP 프록시 기능이 활성화된 후 장치는 대상 IP가 프록시를 충족하는 ARP 요청 보고서를 수신합니다. Text

Super VLAN의 VLANIF 인터페이스가 ARP 학습을 수행할 때 ARP 요청 메시지가 여러 Sub VLAN에 복사됩니다. Sub VLAN은 Super VLAN 아래에 구성되며 장치는 많은 수의 ARP 요청을 생성합니다.

많은 수의 ARP 요청 패킷을 복사하여 전송하여 CPU에 과부하가 걸리는 것을 방지하기 위해 장치는 Super VLAN의 VLANIF 인터페이스에서 ARP 패킷 속도 제한 기능을 지원하여 ARP 요청을 제한합니다. 이 시나리오에서는 장치에서 보낸 패킷이 흐름으로 제어됩니다.

장치 CPU가 상대적으로 사용량이 많은 경우 ARP 요청 메시지의 브로드캐스트 전송 제한 속도를 적절하게 줄일 수 있습니다. 장치 CPU가 상대적으로 유휴 상태이고 ARP 요청 메시지를 빠르게 브로드캐스트할 수 있도록 하려면 비율을 적절하게 높일 수 있습니다. 장치의 실제 조건과 실제 네트워크 환경을 기반으로 조정하십시오.

다음은 참조할 수 있는 MAC 플러딩 www.023wg.com/sort/arp에 대한 몇 가지 자세한 기사입니다.