Changing the Default for Directed Broadcasts in Routers
RFC 2644 обновляет RFC 1812, меняя поведение маршрутизаторов по умолчанию для network-prefix-directed broadcasts. Получение и пересылка таких пакетов должны по умолчанию блокироваться; их разрешение возможно только через явно настроенные параметры. Рекомендация направлена на снижение эффективности некоторых атак отказа в обслуживании, в частности атак с использованием «Smurf Amplifiers». Документ также отмечает приоритетность ingress filtering как способа ограничивать такие атаки.
Network Working Group D. Senie
Request for Comments: 2644 Amaranth Networks Inc.
Updates: 1812 August 1999
BCP: 34
Category: Best Current Practice
Изменение значения по умолчанию для направленных широковещательных рассылок в маршрутизаторах
Статус настоящего меморандума
Этот документ определяет наилучшую текущую практику Интернета для
интернет-сообщества и запрашивает обсуждение и предложения по
улучшению. Распространение настоящего меморандума не ограничено.
Уведомление об авторском праве
Copyright (C) The Internet Society (1999). All Rights Reserved.
1. Введение
Router Requirements [1] устанавливает, что маршрутизаторы должны
принимать и пересылать направленные широковещательные пакеты. В нём
также установлено, что маршрутизаторы ДОЛЖНЫ (MUST) иметь возможность
отключения этой функции и что по умолчанию эта возможность ДОЛЖНА
(MUST) разрешать приём и пересылку направленных широковещательных
пакетов. Хотя направленные широковещательные пакеты имеют применения,
их использование в магистральной сети Интернета, по-видимому, целиком
состоит из вредоносных атак на другие сети.
Изменение требуемого значения по умолчанию для маршрутизаторов
помогло бы обеспечить, чтобы новые маршрутизаторы, подключённые к
Интернету, не усугубляли уже существующие проблемы.
Ключевые слова "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT",
"SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY" и "OPTIONAL" в этом
документе следует толковать так, как описано в RFC 2119.
2. Обсуждение
Наносящие ущерб атаки отказа в обслуживании привели к написанию [2]
о фильтрации входящего трафика. Многие поставщики сетевых услуг и
корпоративные сети одобрили применение этих методов, чтобы их сети не
были источником таких атак.
Недавняя тенденция в атаках Smurf [3] состоит в том, чтобы выбирать
целями сети, допускающие направленные широковещательные пакеты извне
своих сетей. Разрешая направленные широковещательные пакеты, эти
системы становятся "Smurf Amplifiers".
Senie Best Current Practice [Page 1]
RFC 2644 Default Change for Directed Broadcast August 1999
Хотя постоянное внедрение фильтров входящего трафика остаётся лучшим
способом ограничить эти атаки, ограничению направленных
широковещательных пакетов также следует уделить приоритетное внимание.
Поставщикам сетевых услуг и операторам корпоративных сетей настоятельно
рекомендуется обеспечить, чтобы их сети не были уязвимы для пакетов
направленной широковещательной рассылки, поступающих извне их сетей.
Mobile IP [4] содержал положения об использовании направленных
широковещательных пакетов при использовании мобильным узлом
динамического обнаружения агента. Хотя некоторые реализации
поддерживают эту возможность, неясно, полезна ли она. Другие методы
достижения того же результата документированы в [5]. По мере
продвижения Mobile IP по пути стандартизации, возможно, стоило бы
рассмотреть удаление формулировок об использовании направленных
широковещательных пакетов.
3. Рекомендация
Router Requirements [1] обновляется следующим образом:
Раздел 4.2.2.11 (d) заменяется следующим:
(d) { <Network-prefix>, -1 }
Направленная широковещательная рассылка — широковещательная рассылка,
направленная указанному префиксу сети. Она НЕ ДОЛЖНА (MUST NOT)
использоваться в качестве адреса источника. Маршрутизатор МОЖЕТ
(MAY) формировать пакеты Network Directed Broadcast. Маршрутизатор
МОЖЕТ (MAY) иметь параметр конфигурации, разрешающий ему принимать
пакеты направленной широковещательной рассылки, однако этот параметр
ДОЛЖЕН (MUST) быть отключён по умолчанию, и поэтому маршрутизатор
НЕ ДОЛЖЕН (MUST NOT) принимать пакеты Network Directed Broadcast,
если конечный пользователь явно не настроил его.
Раздел 5.3.5.2, второй абзац заменяется следующим:
Маршрутизатор МОЖЕТ (MAY) иметь возможность включить приём на
интерфейсе широковещательных пакетов, направленных префиксу сети,
и МОЖЕТ (MAY) иметь возможность включить пересылку
широковещательных пакетов, направленных префиксу сети. По умолчанию
эти возможности ДОЛЖНЫ (MUST) блокировать приём и блокировать
пересылку широковещательных пакетов, направленных префиксу сети.
4. Соображения безопасности
Цель настоящего документа — снизить результативность некоторых типов
атак отказа в обслуживании.
5. Ссылки
[1] Baker, F., "Requirements for IP Version 4 Routers", RFC 1812,
June 1995.
Senie Best Current Practice [Page 2]
RFC 2644 Default Change for Directed Broadcast August 1999
[2] Ferguson, P. and D. Senie, "Ingress Filtering", RFC 2267, January
1998.
[3] См. страницы Craig Huegen по адресу:
http://www.quadrunner.com/~chuegen/smurf.txt, а также рекомендацию
CERT по адресу: http://www.cert.org/advisories/CA-98.01.smurf.html
[4] Perkins, C., "IP Mobility Support", RFC 2002, October 1996.
[5] P. Calhoun, C. Perkins, "Mobile IP Dynamic Home Address
Allocation Extensions", Work in Progress.
6. Благодарности
Автор хотел бы поблагодарить Brandon Ross из Mindspring и Gabriel
Montenegro из Sun за их вклад.
7. Адрес автора
Daniel Senie
Amaranth Networks Inc.
324 Still River Road
Bolton, MA 01740
Phone: (978) 779-6813
EMail: dts@senie.com
Senie Best Current Practice [Page 3]
RFC 2644 Default Change for Directed Broadcast August 1999
8. Полное заявление об авторском праве
Copyright (C) The Internet Society (1999). All Rights Reserved.
Этот документ и его переводы могут копироваться и предоставляться
другим лицам, а производные работы, которые комментируют или иным
образом разъясняют его либо содействуют его реализации, могут
подготавливаться, копироваться, публиковаться и распространяться,
полностью или частично, без каких-либо ограничений при условии, что
приведённое выше уведомление об авторском праве и этот абзац включены
во все такие копии и производные работы. Однако сам этот документ не
может быть каким-либо образом изменён, например путём удаления
уведомления об авторском праве или ссылок на Internet Society либо
другие интернет-организации, за исключением случаев, когда это
необходимо для разработки интернет-стандартов, и в таком случае
должны соблюдаться процедуры в отношении авторских прав, определённые
процессом разработки интернет-стандартов, либо когда это требуется для
перевода его на языки, отличные от английского.
Предоставленные выше ограниченные разрешения являются бессрочными и не
будут отозваны Internet Society или её правопреемниками либо цессионариями.
Этот документ и содержащаяся в нём информация предоставляются на условиях
"КАК ЕСТЬ", И THE INTERNET SOCIETY И THE INTERNET ENGINEERING TASK FORCE
ОТКАЗЫВАЮТСЯ ОТ ВСЕХ ЯВНЫХ ИЛИ ПОДРАЗУМЕВАЕМЫХ ГАРАНТИЙ, ВКЛЮЧАЯ, ПОМИМО
ПРОЧЕГО, ЛЮБУЮ ГАРАНТИЮ ТОГО, ЧТО ИСПОЛЬЗОВАНИЕ СОДЕРЖАЩЕЙСЯ ЗДЕСЬ
ИНФОРМАЦИИ НЕ НАРУШИТ КАКИЕ-ЛИБО ПРАВА, А ТАКЖЕ ЛЮБЫЕ ПОДРАЗУМЕВАЕМЫЕ
ГАРАНТИИ ТОВАРНОЙ ПРИГОДНОСТИ ИЛИ ПРИГОДНОСТИ ДЛЯ ОПРЕДЕЛЁННОЙ ЦЕЛИ.
Благодарность
Финансирование функции RFC Editor в настоящее время обеспечивается
Internet Society.
Senie Best Current Practice [Page 4]
Network Working Group D. Senie
Request for Comments: 2644 Amaranth Networks Inc.
Updates: 1812 August 1999
BCP: 34
Category: Best Current Practice
Changing the Default for Directed Broadcasts in Routers
Status of this Memo
This document specifies an Internet Best Current Practices for the
Internet Community, and requests discussion and suggestions for
improvements. Distribution of this memo is unlimited.
Copyright Notice
Copyright (C) The Internet Society (1999). All Rights Reserved.
1. Introduction
Router Requirements [1] specifies that routers must receive and
forward directed broadcasts. It also specifies that routers MUST have
an option to disable this feature, and that this option MUST default
to permit the receiving and forwarding of directed broadcasts. While
directed broadcasts have uses, their use on the Internet backbone
appears to be comprised entirely of malicious attacks on other
networks.
Changing the required default for routers would help ensure new
routers connected to the Internet do not add to the problems already
present.
The key words "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT",
"SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", and "OPTIONAL" in this
document are to be interpreted as described in RFC 2119.
2. Discussion
Damaging denial of service attacks led to the writing of [2] on
Ingress Filtering. Many network providers and corporate networks have
endorsed the use of these methods to ensure their networks are not
the source of such attacks.
A recent trend in Smurf Attacks [3] is to target networks which
permit directed broadcasts from outside their networks. By permitting
directed broadcasts, these systems become "Smurf Amplifiers."
Senie Best Current Practice [Page 1]
RFC 2644 Default Change for Directed Broadcast August 1999
While the continued implementation of ingress filters remains the
best way to limit these attacks, restricting directed broadcasts
should also receive priority.
Network service providers and corporate network operators are urged
to ensure their networks are not susceptible to directed broadcast
packets originating outside their networks.
Mobile IP [4] had provisions for using directed broadcasts in a
mobile node's use of dynamic agent discovery. While some
implementations support this feature, it is unclear whether it is
useful. Other methods of achieving the same result are documented in
[5]. It may be worthwhile to consider removing the language on using
directed broadcasts as Mobile IP progresses on the standards track.
3. Recommendation
Router Requirements [1] is updated as follows:
Section 4.2.2.11 (d) is replaced with:
(d) { <Network-prefix>, -1 }
Directed Broadcast - a broadcast directed to the specified network
prefix. It MUST NOT be used as a source address. A router MAY
originate Network Directed Broadcast packets. A router MAY have a
configuration option to allow it to receive directed broadcast
packets, however this option MUST be disabled by default, and thus
the router MUST NOT receive Network Directed Broadcast packets
unless specifically configured by the end user.
Section 5.3.5.2, second paragraph replaced with:
A router MAY have an option to enable receiving network-prefix-
directed broadcasts on an interface and MAY have an option to
enable forwarding network-prefix-directed broadcasts. These
options MUST default to blocking receipt and blocking forwarding
of network-prefix-directed broadcasts.
4. Security Considerations
The goal of this document is to reduce the efficacy of certain types
of denial of service attacks.
5. References
[1] Baker, F., "Requirements for IP Version 4 Routers", RFC 1812,
June 1995.
Senie Best Current Practice [Page 2]
RFC 2644 Default Change for Directed Broadcast August 1999
[2] Ferguson, P. and D. Senie, "Ingress Filtering", RFC 2267, January
1998.
[3] See the pages by Craig Huegen at:
http://www.quadrunner.com/~chuegen/smurf.txt, and the CERT
advisory at: http://www.cert.org/advisories/CA-98.01.smurf.html
[4] Perkins, C., "IP Mobility Support", RFC 2002, October 1996.
[5] P. Calhoun, C. Perkins, "Mobile IP Dynamic Home Address
Allocation Extensions", Work in Progress.
6. Acknowledgments
The author would like to thank Brandon Ross of Mindspring and Gabriel
Montenegro of Sun for their input.
7. Author's Address
Daniel Senie
Amaranth Networks Inc.
324 Still River Road
Bolton, MA 01740
Phone: (978) 779-6813
EMail: dts@senie.com
Senie Best Current Practice [Page 3]
RFC 2644 Default Change for Directed Broadcast August 1999
8. Full Copyright Statement
Copyright (C) The Internet Society (1999). All Rights Reserved.
This document and translations of it may be copied and furnished to
others, and derivative works that comment on or otherwise explain it
or assist in its implementation may be prepared, copied, published
and distributed, in whole or in part, without restriction of any
kind, provided that the above copyright notice and this paragraph are
included on all such copies and derivative works. However, this
document itself may not be modified in any way, such as by removing
the copyright notice or references to the Internet Society or other
Internet organizations, except as needed for the purpose of
developing Internet standards in which case the procedures for
copyrights defined in the Internet Standards process must be
followed, or as required to translate it into languages other than
English.
The limited permissions granted above are perpetual and will not be
revoked by the Internet Society or its successors or assigns.
This document and the information contained herein is provided on an
"AS IS" basis and THE INTERNET SOCIETY AND THE INTERNET ENGINEERING
TASK FORCE DISCLAIMS ALL WARRANTIES, EXPRESS OR IMPLIED, INCLUDING
BUT NOT LIMITED TO ANY WARRANTY THAT THE USE OF THE INFORMATION
HEREIN WILL NOT INFRINGE ANY RIGHTS OR ANY IMPLIED WARRANTIES OF
MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE.
Acknowledgement
Funding for the RFC Editor function is currently provided by the
Internet Society.
Senie Best Current Practice [Page 4]