UDP Flood от Google или как да не лишаваме всички от Youtube

Една хубава пролетна вечер, когато не исках да се прибирам вкъщи, а неудържимото желание да живея и да уча ме сърбеше и изгаряше като нагорещена ютия, възникна идеята да изпробвам една примамлива странна функция на защитната стена, наречена „IP DOS политика".
След предварителни ласки и запознаване с ръководството го настроих на режим Pass-and-Log, да погледнем ауспуха като цяло и съмнителната полза от тази настройка.
След няколко дни (за да се натрупа статистиката, разбира се, а не защото забравих), погледнах дневниците и, танцувайки на място, плеснах с ръце - имаше достатъчно записи, не си играйте. Изглежда, че не може да бъде по-просто - включете политиката за блокиране на всички наводнения, сканиране, инсталиране полуотворена сеанси със забрана за един час и спите спокойно със съзнанието, че границата е заключена. Но 34-тата година от живота надделя над младежкия максимализъм и някъде в дъното на мозъка прозвуча тънък глас: „Да вдигнем клепачи и да видим чии адреси нашата любима защитна стена разпозна като злонамерени флудъри? Е, по ред глупости."

Започваме да анализираме получените данни от списъка с аномалии. Пускам адреси чрез прост скрипт PowerShell и очите се натъкват на познати букви Google.

Търкам очи и мигам около пет минути, за да се уверя, че не си въобразявам неща - наистина, в списъка на тези, които защитната стена смята за злонамерени флудъри, типът атака е - udp наводнение, адреси, принадлежащи на добрата корпорация.

Почесвам се по главата, като същевременно настройвам улавяне на пакети на външния интерфейс за последващ анализ. В главата ми мигат светли мисли: „Как така нещо е заразено в Google Scope? И това ли открих? Да, това, това са награди, почести и червен килим, и собствено казино с блекджек и, разбирате ли...”

Разбор на получения файл Wireshark-ом.
Да, наистина от адреса от обхвата Google UDP пакетите се изтеглят от порт 443 към произволен порт на моето устройство.
Но, чакайте малко... Тук протоколът се променя от UDP на GQUIC.
Семьон Семенич...

Веднага се сещам за репортажа от HighLoad Александра Тоболя «UDP против TCP или бъдещето на мрежовия стек"(връзка).
От една страна настъпва леко разочарование - нито лаври, нито почести за теб, майсторе. От друга страна, проблемът е ясен, остава да разберем къде и колко да копаем.
Няколко минути комуникация с Good Corporation - и всичко си идва на мястото. В опит да подобри скоростта на доставка на съдържание, компанията Google обяви протокола през 2012 г QUIC, което ви позволява да премахнете повечето от недостатъците на TCP (да, да, да, в тези статии - Ррраз и две Те говорят за напълно революционен подход, но, нека бъдем честни, искам снимките с котки да се зареждат по-бързо, а не всички тези революции на съзнанието и прогреса). Както показват по-нататъшни изследвания, много организации сега преминават към този тип опция за доставка на съдържание.
Проблемът в моя случай и мисля, че не само в моя случай беше, че накрая има твърде много пакети и защитната стена ги възприема като флуд.
Имаше няколко възможни решения:
1. Добавете към списъка с изключения за DoS политика Обхват на адресите на защитната стена Google. Само при мисълта за набора от възможни адреси окото му започна да потрепва нервно - идеята беше отхвърлена като луда.
2. Увеличете прага на отговор за udp политика за наводнения - също не е comme il faut, но какво ще стане, ако някой наистина злонамерен се промъкне.
3. Забранете обажданията от вътрешната мрежа чрез UDP на 443 порт навън.
След като прочетете повече за внедряването и интеграцията QUIC в Google Chrome Последният вариант беше приет като индикация за действие. Факт е, че обичан от всички навсякъде и безмилостно (не разбирам защо, по-добре е да имаш арогантна червенокоса Firefox-овская муцуна ще получи за консумираните гигабайти RAM), Google Chrome първоначално се опитва да установи връзка, използвайки своя трудно спечелен QUIC, но ако не се случи чудо, тогава се връща към доказани методи като TLS, въпреки че изключително много се срамува от това.

Създайте запис за услугата на защитната стена QUIC:

Създаваме ново правило и го поставяме някъде по-високо във веригата.

След включване на правилото в списъка с аномалии, мир и тишина, с изключение на наистина злонамерени нарушители.

Благодаря на всички за вниманието.

Използвани ресурси:
1.Репортаж на Александър Тобол
2.Описание на протокола QUIC от Infopulse
3.Wikipedia
4. KB от Fortinet

Източник: www.habr.com