RFC2827 · Фильтрация входящего сетевого трафика: противодействие атакам отказа в обслуживании с подменой исходного IP-адреса

{
  "id": "RFC2827",
  "number": 2827,
  "title_en": "Network Ingress Filtering: Defeating Denial of Service Attacks which employ IP Source Address Spoofing",
  "title_ru": "Фильтрация входящего сетевого трафика: противодействие атакам отказа в обслуживании с подменой исходного IP-адреса",
  "summary_ru": "RFC 2827 описывает фильтрацию входящего трафика на границе сети как простой способ существенно сократить возможность DoS-атак с поддельными исходными IP-адресами. Поставщики интернет-связности призываются ограничивать трафик от нижестоящих сетей только легитимно анонсированными для них префиксами и регистрировать отброшенные пакеты. Метод не защищает от атак с адресами из разрешённого префикса, но упрощает установление сети-источника атаки. Документ отмечает совместимые исключения и риски для Mobile IP, DHCP/BOOTP, специальных сервисов и асимметричной маршрутизации.",
  "purpose_ru": "Снизить эффективность подмены исходных IP-адресов при DoS-атаках, предотвращая выход из подключённой сети трафика с источниками вне её разрешённых префиксов.",
  "use_ru": "Применять на входящих интерфейсах граничных маршрутизаторов, обслуживающих клиентские или нижестоящие сети: разрешать пакеты только с исходными адресами из выделенных и анонсируемых ими префиксов, остальные отклонять и вести журнал отброшенных пакетов. При внедрении учитывать законный DHCP/BOOTP-трафик, Mobile IP и специальные сервисы.",
  "full_translation_path": "translations/rfc2827.html",
  "full_translation_checked_at": "2026-10-03",
  "full_translation_source_sha256": "6eaa66f058ad3b7b6ddb7010e1a71939e2085b0604d0e1950d43609642135c44",
  "architect_note_ru": "Это BCP 38, опубликованный в мае 2000 года; RFC 2827 заменяет RFC 2267 и обновлён RFC 3704. Рекомендации относятся к фильтрации на периферии подключённых сетей и не являются защитой от трафика с поддельным адресом внутри разрешённого диапазона. Рассмотренная, но не рекомендованная в документе проверка обратного пути проблемна при асимметричной маршрутизации.",
  "topics_ru": [],
  "translation_state": "reviewed",
  "verification_level": "primary_source_reviewed",
  "verification_level_ru": "Проверено по первичному тексту и реестру RFC Editor",
  "verification_note_ru": "Полный текст и карточка независимо сверены с первоисточником. 2026-10-03",
  "abstract_en": "This paper discusses a simple, effective, and straightforward method for using ingress traffic filtering to prohibit DoS (Denial of Service) attacks which use forged IP addresses to be propagated from 'behind' an Internet Service Provider's (ISP) aggregation point. This document specifies an Internet Best Current Practices for the Internet Community, and requests discussion and suggestions for improvements.",
  "authors": [
    "P. Ferguson",
    "D. Senie"
  ],
  "organizations": [],
  "publication_date": "2000-05-01",
  "current_status": "BEST CURRENT PRACTICE",
  "current_status_ru": "Лучшая современная практика",
  "publication_status": "BEST CURRENT PRACTICE",
  "publication_status_ru": "Лучшая современная практика",
  "lifecycle": "active",
  "lifecycle_ru": "Действующий",
  "stream": "IETF",
  "stream_ru": "IETF",
  "area": "",
  "area_ru": "",
  "working_group": "NON WORKING GROUP",
  "source_draft": "draft-ferguson-ingress-filtering-02",
  "page_count": 10,
  "doi": "10.17487/RFC2827",
  "keywords": [
    "ISP",
    "Internet Service Provider",
    "IP",
    "Internet Protocol",
    "DOS",
    "Denial of Service"
  ],
  "formats": [
    "TXT",
    "HTML"
  ],
  "relations": {
    "obsoletes": [
      "RFC2267"
    ],
    "obsoleted_by": [],
    "updates": [],
    "updated_by": [
      "RFC3704"
    ],
    "is_also": [
      "BCP38"
    ],
    "see_also": []
  },
  "links": {
    "info": "https://www.rfc-editor.org/info/rfc2827/",
    "html": "https://www.rfc-editor.org/rfc/rfc2827.html",
    "txt": "https://www.rfc-editor.org/rfc/rfc2827.txt",
    "datatracker": "https://datatracker.ietf.org/doc/rfc2827/"
  }
}