Una bella sera di primavera, quando non avevo voglia di tornare a casa, e un'implacabile voglia di vivere e scoprire mi tormentava come un ferro caldo, mi venne in mente di curiosare in un affascinante aspetto del firewall chiamato «IP DOS policy«.
Dopo alcune preliminari coccole e una lettura del manuale, ho configurato in modalità Pass-and-Log, per vedere che tipo di output e utilità discutibile avesse questa impostazione.
Dopo un paio di giorni (solo per far accumulare la statistica, non perché sia dimenticato) ho guardato i log e, danzando sul posto, ho battuto le mani—si erano accumulate un numero incredibile di registrazioni. Sembrerebbe semplice: attiva la politica in modalità di blocco per tutti quelli che inondano, scansionano, stabiliscono half-open sessioni con un divieto di un'ora e dormi tranquillo sapendo che il confine è sicuro. Ma a 34 anni il massimalismo giovanile è superato e, da qualche parte nel retro della mia mente, è emerso un voce sottile: «E se alzassimo le palpebre e vedessimo quali indirizzi il nostro amato firewall ha identificato come attaccanti chiassosi? Diciamo che, giusto per curiosità.»
Iniziamo ad analizzare i dati ottenuti dalla lista delle anomalie. Eseguo gli indirizzi tramite un semplice script Powershell e gli occhi si imbattono in lettere familiari google.
Strofino gli occhi, sbatto le palpebre per cinque minuti per assicurarmi che non stia sognando—infatti, nella lista di quelli che il firewall ha definito come attaccanti chiassosi, il tipo di attacco è udp flood, indirizzi appartenenti alla corporazione del bene.
Mi grattò la testa, mentre impostavo sull'interfaccia esterna la cattura dei pacchetti per un'analisi successiva. Nella mia mente si affollano pensieri colorati: «Com'è possibile che qualcosa di infetto ci sia nell'ambito di Google? E l'ho scoperto io? Certo, ricompense, onori e un tappeto rosso, e il mio casinò con blackjack e, beh, avete capito…»
Analizzo il file ottenuto Wireshark-.
Sì, effettivamente, dall'indirizzo nell'ambito Google ci sono pacchetti UDP che fluttuano dalla porta 443 a una porta casuale sul mio dispositivo.
Aspetta però… Ecco che il protocollo cambia da UDP con GQUIC.
Semyon Semyonovich…
Ricordo subito una relazione di HighLoad Alexandr Tobol' «UDP contro TCP o il futuro dello stack di rete) ().
Da un lato, arriva una leggera delusione—niente allori, né premi. Dall'altro, il problema è chiaro, resta solo da capire dove e quanto scavare.
Dopo alcuni minuti di conversazione con la Corporazione del Bene, tutto si mette in chiaro. Nel tentativo di migliorare la velocità di consegna dei contenuti, l'azienda Google già nel 2012 ha annunciato un protocollo QUIC, permettendo di superare gran parte delle limitazioni del TCP (sì-sì-sì, in questi articoli— e si parla di un approccio completamente rivoluzionario, ma, diciamocelo, vogliamo solo che le foto di gattini si carichino più velocemente e non tutte queste rivoluzioni della consapevolezza e del progresso). Come ha dimostrato una successiva indagine, molte organizzazioni stanno attualmente adottando tale metodo di consegna dei contenuti.
Il problema nel mio caso, e penso non solo nel mio, era che alla fine ci sono troppi pacchetti e il firewall li percepisce come flooding.
Le soluzioni sono risultate poche:
1. Aggiungere alla lista delle eccezioni per DoS Policy del firewall l'insieme degli indirizzi Google. Solo a pensarci, gli occhi hanno cominciato a tremare nervosamente—idea scartata come folle.
2. Alzare la soglia di attivazione per udp flood policy—idem, e se qualcuno davvero malvagio si infilasse. 3. Vietare le richieste dalla rete interna
verso la porta esterna. UDP con 443 Dopo aver letto ulteriormente sull'implementazione e integrazione,
è stata presa la decisione di adottare l'ultima opzione. Il fatto è che, amato da tutti e impietosamente (non capisco perché, è meglio che il fiero muso di QUIC in Google Chrome -ov riceva per i gigabyte di RAM consumati), Firefoxcerca inizialmente di stabilire una connessione utilizzando il suo faticoso Google Chrome , ma se il miracolo non accade, torna ai metodi collaudati come QUIC, anche se si vergogna incredibilmente di farlo. TLSCreiamo sul firewall una registrazione per il servizio
Configuriamo una nuova regola e la posizioniamo più in alto nella catena. QUIC:
Dopo l'attivazione della regola, nella lista delle anomalie regna la calma, a parte i veri trasgressori.
Grazie a tutti per l'attenzione.
Fonti utilizzate:
Relazione di Alexandr Tobol'
1.
2.
3.
4.
Fonte: habr.com
