OSPF GTSM(通用TTL安全保护机制)

目录

GTSM的定义

使用GTSM的目的

GTSM的原理

[配置OSPF GTSM实例](#配置OSPF GTSM实例)

组网需求

配置思路

操作步骤

[1. 配置各接口的IP地址](#1. 配置各接口的IP地址)

2.配置OSPF基本功能

[3.配置OSPF GTSM](#3.配置OSPF GTSM)

[4. 验证配置结果](#4. 验证配置结果)


GTSM的定义

GTSM(Generalized TTL Security Mechanism),即通用TTL安全保护机制。GTSM通过检查IP报文头中的TTL值是否在一个预先定义好的范围内,对IP层以上业务进行保护。

使用GTSM的目的

网上存在一些"有效报文"攻击,可能通过对一台设备不断发送报文,使设备收到这些发送给本机的报文后,不辨别其"合法性",直接由转发层面上送控制层面处理,导致设备因为处理这些"合法"报文,系统异常繁忙,CPU占用率高。

在实际应用中,GTSM特性主要用于保护建立在TCP/IP基础上的控制层面(路由协议等)免受CPU利用 (CPU-utilization)类型的攻击,如CPU过载(CPU overload)。

GTSM的原理

使能了GTSM特性和策略的设备会对收到的所有报文进行策略检查。对于没有通过策略的报文丢弃或者上送控制平面,从而达到防止攻击的目的。策略内容包括:

  • 发送给本机IP报文的源地址。
  • 报文所属的VPN实例。
  • IP报文的协议号(OSPF是89,BGP是6)。
  • TCP/UDP之上协议的协议源端口号、目的端口号。
  • 有效TTL范围。

GTSM的实现手段如下:

  • 对于直连的协议邻居:将需要发出的单播协议报文的TTL值设定为255。
  • 对于多跳的邻居:可以定义一个合理的TTL范围。

GTSM的应用范围是:

  • GTSM对单播报文有效,对组播报文无效。这是因为组播报文本身具有TTL值为255的限制,不需要 使用GTSM进行保护。
  • GTSM不支持基于Tunnel的邻居。

配置OSPF GTSM实例

组网需求

如图1所示,各路由器间运行OSPF协议,在RouterA、RouterB和RouterC上启用GTSM保护功能。

图1 OSPF GTSM组网图

配置思路

采用如下的思路配置OSPF GTSM功能:

  1. 配置OSPF基本功能
  2. 在各路由器上使能GTSM,指定有效TTL范围

操作步骤

1. 配置各接口的IP地址

配置RouterA的各接口的IP地址。

复制代码
<Huawei> system-view
[Huawei] sysname RouterA
[RouterA] interface gigabitethernet 1/0/0
[RouterA-GigabitEthernet1/0/0] ip address 192.168.1.1 255.255.255.0
[RouterA-GigabitEthernet1/0/0] quit
[RouterA] interface gigabitethernet 2/0/0
[RouterA-GigabitEthernet2/0/0] ip address 192.168.2.1 255.255.255.0
[RouterA-GigabitEthernet2/0/0] quit
[RouterA] interface gigabitethernet 3/0/0
[RouterA-GigabitEthernet3/0/0] ip address 10.1.1.1 255.0.0.0.0
[RouterA-GigabitEthernet3/0/0] quit

RouterB、RouterC和RouterD的配置同RouterA此处略。

2.配置OSPF基本功能

3.配置OSPF GTSM

在RouterA上配置到其他路由器的最大有效TTL范围255到255。

复制代码
[RouterA] ospf valid-ttl-hops 1

在RouterB上配置到其他设备的有效TTL范围254到255。

复制代码
[RouterB] ospf valid-ttl-hops 2

在Routerc上配置到其他设备的有效TTL范围254到255。

复制代码
[RouterC] ospf valid-ttl-hops 2

4. 验证配置结果

查看各路由器间OSPF的邻居是否正常建立。以RouterC为例,可以看到邻居关系为"Full",邻居 正常建立。

在RouterC上执行display gtsm statistics all,查看RouterC的GTSM统计信息,在缺省动作是通 过且没有非法报文的情况下,丢弃的报文数是0。

相关推荐
悟空胆好小1 小时前
分音塔科技(BABEL Technology) 的公司背景、股权构成、产品类型及技术能力的全方位解读
网络·人工智能·科技·嵌入式硬件
ssswywywht2 小时前
OSPF实验
网络
FCM662 小时前
HCIA第一次实验报告:静态路由综合实验
网络·tcp/ip·信息与通信
apihz2 小时前
VM虚拟机全版本网盘+免费本地网络穿透端口映射实时同步动态家庭IP教程
android·服务器·开发语言·网络·数据库·网络协议·tcp/ip
dog2503 小时前
TCP 传输时 sk_buff 的 clone 和 unclone
网络·网络协议·tcp/ip
学习溢出4 小时前
【网络安全】理解安全事件的“三分法”流程:应对警报的第一道防线
网络·安全·web安全·网络安全·ids
智慧化智能化数字化方案4 小时前
华为IPD(集成产品开发)流程是其研发管理的核心体系
网络·华为ipd流程·ipd流程体系·ipd产品研发
kfepiza5 小时前
Linux的NetworkManager的nmcli配置网桥(bridge) 笔记250712
linux·运维·网络·笔记·tcp/ip·ip·tcp
cui_win5 小时前
【网络】Linux 内核优化实战 - net.netfilter.nf_conntrack_buckets
linux·网络·.net
cui_win5 小时前
【网络】Linux 内核优化实战 - net.netfilter.nf_conntrack_tcp_timeout_established
linux·网络·.net