Solaris: IP Spoofing a través de puertos Ethernet

Bajo Solaris, el parámetro ip_strict_dst_multihoming realizará la función de suplantación anti-IP que está buscando. Para citar, "estableciendo el parámetro ip_strict_dst_multihoming en 0, el sistema descarta cualquier paquete que parezca originarse en una red conectada a otra interfaz " Solaris Kernel Tuning for Security ". Entonces, para responder a su pregunta: se puede abordar el riesgo configurando correctamente la casilla para no reenviar paquetes falsificados.

Tenga en cuenta que esto aborda el caso simple que ha descrito. No creo que ayude en el caso de enrutar múltiples redes a través de múltiples interfaces. En otras palabras, si tenía una ruta estática para que el tráfico de 192.168.2.0/24 también se enrutara a través de la interfaz 1, no estoy seguro de que Solaris eliminara un paquete de 192.168.2.5 que venía en la interfaz 0. Creo que solo se eliminarán las redes definidas por la dirección enlazada de la interfaz 1.

Si está pensando en convertir una caja Solaris en un enrutador, debe leer atentamente las guías como el enlace de arriba. Solaris no es, en mi humilde opinión, un gran sistema de enrutador. Sin embargo, Solaris 11 agregó el firewall ipfw, que se acerca a la paridad de su caja BSD / Linux promedio. Si va a enrutar entre redes de diferentes niveles de seguridad, debe hacerlo correctamente y NAT y / o aplicar reglas de firewall.

Aunque puede haber formas de solucionar este problema a través del kernel del sistema, también es muy fácil de mitigar por otros medios.

Algunas herramientas incluirían IPS y cortafuegos.

Un ejemplo simple de esto sería a través de IPTables. Si está trabajando en un sistema que ejecuta iptables, la siguiente línea debería hacer el truco ...

iptables -A INPUT -i eth0 -s 192.168.0.0/24 -j DROP

Esto también depende de su entorno de red, es plausible que la forma en que se configura la red simplemente no permite que esto suceda (enrutamiento / NAT / firewalls).

** publicado debido a la solicitud **

Como dice la publicación anterior, el parámetro ip_strict_dst_multihoming es lo que desea evitar que el paquete INCOMING. Ese parámetro está desactivado de forma predeterminada, por lo que debe configurarlo en '1' para que funcione.

Suponiendo que esté desactivado, el paquete saliente se enviará a la interfaz # 1. La pila no recuerda en qué puerto entró el paquete. Todo lo que sabe es que tiene un paquete destinado a una dirección 192.168.1.x. No sabe por qué tiene el paquete, de dónde viene, ni siquiera el contenido. Todo lo que sabe es la dirección de destino, lo que significa el puerto # 1.