Op deze pagina
Kernpunten
- Tel IP-bytesFlowSpec Type 10 vergelijkt IP-pakketlengte, niet Ethernetframegrootte of applicatiepayload.
- Een grootte is geen aanvalssignatuurLegitiem verkeer kan dezelfde lengte hebben. Combineer bewijs met een precies geautoriseerd bereik.
- Controleer uitvoering en intrekkingEen ontvangen BGP-regel bewijst geen forwardinggedrag. Test het datapad en de verwijderprocedure.
Waarom herhaalde lengtes meer bewijs vragen
Een flood kan veel pakketten van dezelfde grootte bevatten. Lengte is daardoor nuttig bij onderzoek. Dezelfde herhaling komt ook voor in legitieme keepalives, bevestigingen en spelverkeer. Een histogrampiek is een waarneming om te onderzoeken, geen toestemming om alle pakketten met die lengte te droppen.
Begin bij getroffen bestemming, protocol, richting en dienstgedrag. Vergelijk incidentsteekproeven met geslaagde normale sessies, herverbindingen en applicatie-updates. Sampling en afgekorte captures kunnen variatie verbergen; leg de verzamelmethode vast.
IPv4 Type 10 telt het volledige IP-pakket
RFC 8955 definieert lengte als het complete IP-pakket, inclusief IP-header en exclusief laag 2. Kopieer geen vastgelegde Ethernetlengte of UDP-payloadlengte naar een regel alsof die dezelfde maat beschrijven.
Een niet-gefragmenteerd IPv4-pakket met 20 bytes IP-header, 8 bytes UDP-header en 32 bytes payload heeft bijvoorbeeld een IP-lengte van 60 bytes. Zonder VLAN-tags is het Ethernetframe 78 bytes inclusief FCS. Nominale lijnbezetting telt nog 20 bytes erbij. Het zijn verschillende maten voor hetzelfde voorbeeld.
| Maat in dit voorbeeld | Bytes | Betekenis |
|---|---|---|
| UDP-payload | 32 | Alleen applicatiegegevens. |
| IPv4-pakket | 60 | IP- en UDP-header plus payload: de Type 10-lengte. |
| Ethernetframe met FCS | 78 | 14 bytes Ethernetheader plus IP-pakket plus 4 bytes FCS. |
| Nominale lijnbezetting | 98 | Frame plus preambule en interframetijd. |
Combineer lengte met een expliciet verkeersbereik
Beperk een kandidaatregel tot het geautoriseerde bestemmingsprefix en het bedoelde IP-protocol. Onderscheid bronpoort, doelpoort en de component die op een van beide kan passen. Hun betekenis verandert met de richting. Gebruik alleen voorwaarden en acties die de ontvangende implementatie ondersteunt.
Een lengte analyseert geen applicatieprotocol. Een UDP-grootteregel bewijst niet dat een pakket van FiveM is, en de hoofdverbinding van Minecraft Java gebruikt TCP. Kopieer regels niet tussen diensten alleen omdat het allebei spellen zijn. Bij overlap tussen legitieme en ongewenste pakketten kan een geschikte applicatiecontrole nodig zijn.
Controleer de meetlaag opnieuw bij encapsulatie. Een regel op het buitenste tunnelpakket vergelijkt niet automatisch het binnenste dienstpakket. Het bytevoorbeeld hier betreft IPv4. Valideer IPv6-extensieheaders, fragmenten en implementatiegedrag apart.
Voordat u een kandidaatregel toepast
Leg bewijs en eigenaarschap vast
Bewaar representatieve geautoriseerde captures of tellers, de normale referentie, getroffen bestemming en regeleigenaar. Benoem verwacht voordeel en mogelijke legitieme matches.
Controleer de exacte match
Verifieer eenheden, grenzen, protocol, poortrichting en fragmentgedrag. Vergelijk de gegenereerde regel met de bedoeling en test ondersteunde pakketvarianten geïsoleerd.
Bewijs installatie en een werkende dienst
Bevestig acceptatie in het control plane én echte installatie in het datapad. Bekijk matchtellers en test legitieme applicatiehandelingen via het beschermde pad.
Begrens en verwijder de wijziging
Plan een expliciete beoordeling of intrekking in procedure of controller. BGP FlowSpec biedt geen algemene automatische vervaltijd per regel. Test verwijdering en de resulterende forwarding.
Voorbeeld: één bestemming en één waargenomen ongewenst patroon
Stel dat metingen van uw eigen UDP-dienst een ongewenst IPv4-patroon tonen bij een bepaalde IP-lengte, terwijl normaal verkeer onafhankelijk is gemeten. Tel eerst matches zonder te droppen als het platform dat ondersteunt. Gebruik anders een geïsoleerd testpad; neem niet aan dat zo’n observatiemodus bestaat.
Past de voorwaarde ook op legitiem verkeer, beperk of verwerp haar dan in plaats van een brede reeks uit te breiden. Is een begrensde regel gerechtvaardigd, bewaak dan dienstsucces naast afnemend aanvalsverkeer. Minder bandbreedte met niet-werkende clients is geen geslaagde mitigatie.
Niet-eerste fragmenten bevatten niet de oorspronkelijke transportheader. Een regel die ook een UDP-poort vereist vraagt daarom aandacht: de poortvergelijking in de standaard matcht deze fragmenten niet. Neem niet aan dat één poort-en-lengteregel een volledig gefragmenteerd datagram dekt.
Veelgemaakte fouten die de regel veranderen
- Een Ethernet-capturelengte vergelijken terwijl de regel IP-pakketlengte verwacht.
- Een lengtevoorwaarde op alle bestemmingen of protocollen toepassen omdat één dienst wordt aangevallen.
- Bron- en doelpoorten verwarren bij gereflecteerd of terugkerend verkeer.
- Aannemen dat alle fragmenten een vergelijkbare UDP- of TCP-header bevatten.
- Een door BGP geaccepteerde route zien als bewijs dat hardware het filter heeft geïnstalleerd.
- Een incidentregel actief laten zonder eigenaar, beoordelingsmoment of geteste intrekking.
Koppel de regel aan een volledige beheerprocedure
Bewaar bereik, versie, goedkeuringsbevoegdheid, installatieresultaat, tellers en verwijderresultaat samen. Upstreamacceptatiebeleid en ondersteunde acties horen bij de dienstafspraken. Een geadverteerde FlowSpec-functie alleen legt die niet vast.
Vragen en antwoorden
Betekent pakketlengte de grootte van UDP-payload?
Nee. In dit IPv4-voorbeeld omvat zij naast de payload ook IPv4- en UDP-headers, maar niet de Ethernetlaag.
Kan één vaste lengte alle kwaadaardige pakketten herkennen?
Nee. Legitieme en ongewenste pakketten kunnen dezelfde lengte hebben. Gebruik bewijs, een beperkt geautoriseerd bereik en validatie van de dienst.
Verloopt een tijdelijke FlowSpec-regel vanzelf?
Neem dat niet aan. Regel verlopen of intrekken in de controller of beheerprocedure en controleer dat de uitvoering daadwerkelijk verdwijnt.
