Filtrowanie IP: Zrozumienie popularnych technik filtrowania IP
Filtrowanie adresów IP stało się powszechną praktyką w dzisiejszych czasach. Na dobre lub na złe jest to żmudny proces i ma różne ograniczenia dla firm, które używają tej techniki jako podstawowego rozwiązania do określania każdego użytkownika i eliminowania nieuczciwych zachowań.
Jednak proces filtrowania adresów IP jest odpowiedni i skuteczny w wielu sytuacjach. Typowym przykładem są usługi przesyłania strumieniowego, takie jak Netflix, ograniczają dostęp użytkowników do określonych tytułów treści na podstawie ich adresów IP.
Oznacza to, że jeśli mieszkasz w Stanach Zjednoczonych, nie możesz uzyskać dostępu do Netflix Korea lub Netflix Japan ze względu na filtrowanie IP. Podobnie oglądanie amerykańskiego Netflixa w Wielkiej Brytanii, Chinach, Kanadzie, Rosji i nie tylko jest równie niemożliwe.
Co więcej, specjaliści IT czasami chcą również zablokować określony podzbiór ruchu internetowego do swojej witryny, aby zezwolić tylko na określoną listę adresów IP lub ze względu na geolokalizację.
Chociaż wszystko to wydaje się dość interesujące, chcielibyśmy powiedzieć więcej o filtrowaniu adresów IP. W przewodniku dowiesz się, co to jest, jakie są jego typowe techniki, zasady i jak z niego korzystać. Zacznijmy!
Co to jest filtrowanie IP?
Filtrowanie IP pozwala kontrolować, jaki ruch IP będzie dozwolony w Twojej sieci i poza nią. Pozwala zdefiniować reguły, a następnie filtrować pakiety IP w oparciu o te ustawione reguły.
Innymi słowy, filtrowanie IP to procedura, która określa pakiety IP, które zostaną przetworzone i odrzucone/usunięte. Możesz zastosować wiele kryteriów, aby określić, które dane chcesz filtrować. Oto kilka przykładów:
- Typ datagramu: żądanie echa ICMP, SYN/ACK, dane i inne.
- Typ protokołu: UDP, TCP, ICMP i inne.
- Adres źródłowy i docelowy datagramu: skąd pochodzi i dokąd zmierza.
- Numer gniazda: (dla UDP/TCP)
Trzeba przyznać, że filtrowanie adresów IP jest funkcją warstwy sieciowej. Nie rozumie nic o aplikacji używającej połączeń sieciowych, ale same połączenia.
Popularne techniki filtrowania adresów IP
Istnieją trzy popularne typy technik filtrowania adresów IP. Sprawdźmy je poniżej:
1 Filtrowanie tras:
W filtrowaniu tras niektóre trasy nie są ogłaszane ani uwzględniane w lokalnej bazie danych. Filtry można zastosować na routerach, przed filtrowaniem wyjściowym lub po filtrowaniu wejściowym.
Istnieje wiele powodów filtrowania tras:
- Ten rodzaj filtrowania zapewnia, że użycie RFC 1918 (prywatnej przestrzeni adresowej) nie przedostanie się do globalnego Internetu. Oba te prefiksy wymagają blokowania przez sieć w filtrowaniu wejściowym i wyjściowym.
- Ogłaszanie tras, które nie są lokalne dla sąsiada, gdy strona internetowa jest wieloadresowa, niepodobna do tej, którą znano z kwot do reklamowania gotowości do obsługi tranzytu. Nie można tego uniknąć, stosując filtrowanie wyjścia na takich trasach.
- Dostawca usług internetowych zazwyczaj przeprowadza filtrowanie danych wejściowych na trasach wykrytych od konsumenta w celu ograniczenia ich do adresu IP faktycznie przypisanego do tego konsumenta. W ten sposób przechwytywanie adresów IP staje się dość trudne.
W kilku przypadkach w routerach jest niewystarczająca ilość pamięci głównej, aby pomieścić całą globalną tablicę BGP. Poprzez filtrowanie danych wejściowych na podstawie długości prefiksu, liczby AS lub kombinacji obu, lokalna baza danych tras jest ograniczona do podzbioru tabeli globalnej. Jednak ta praktyka nie jest zalecana.
Prefiksy IPv4 są również blokowane przez niektóre sieci, które są przechowywane w regionalnych rejestrach internetowych (RIR) i nie są delegowane do żadnej sieci. Ta technika wymaga regularnej aktualizacji filtra routera. Jednak najlepiej nie wykonywać tego rodzaju filtrowania routerów, chyba że masz niezawodne i zautomatyzowane narzędzie do sprawdzania baz danych RIR.
2 Filtrowanie zapory:
Zapora sieciowa to oprogramowanie, urządzenie lub wiele urządzeń, opracowane w celu odmowy lub umożliwienia dostępu do transmisji sieciowej na podstawie zestawu reguł w celu zabezpieczenia sieci przed nieautoryzowanym dostępem, jednocześnie zezwalając na przepuszczanie legalnego ruchu. Różne routery przesyłające dane między sieciami zawierają elementy zapory i mogą wykonywać niezbędne funkcje routingu.
Oto podstawowe rodzaje zapór:
- Zapory warstwy aplikacji: Ten rodzaj zapory działa na poziomie aplikacji stosu IP/TCP. Przechwytuje wszystkie pakiety IP wędrujące do aplikacji lub z niej i odrzuca niechciany ruch na zewnątrz przed dotarciem do chronionych maszyn/urządzeń bez żadnego potwierdzenia dla nadawcy. Kryteria inspekcji dodatkowo zwiększają opóźnienie w przesyłaniu pakietów do miejsca przeznaczenia.
- Usługi proxy: działają na dedykowanych urządzeniach sprzętowych lub na maszynach ogólnego przeznaczenia jako oprogramowanie, reagując na pakiety wejściowe, jednocześnie blokując inne. W tym przypadku zhakowany system wewnętrzny nie spowoduje naruszenia bezpieczeństwa, jednak techniki takie jak fałszowanie adresów IP mogą przesyłać pakiety do innej sieci.
- Filtry pakietów lub zapory warstwy sieciowej: Podczas działania na stosie protokołów TCP/IP ta zapora nie pozwala na przechodzenie pakietów przez niego, chyba że są one zgodne z regułami ustawionymi domyślnie lub przez administratora. Obecnie firewalle mogą filtrować ruch na podstawie atrybutów pakietów, takich jak port źródłowy, źródłowy i docelowy adres IP itp. Mogą również filtrować na podstawie wartości TTL, protokołów i bloku sieci nadawcy.
- Translacja adresów sieciowych (NAT): Zgodnie z definicją w RFC 1918, NAT umożliwia ukrywanie adresów IP chronionych urządzeń poprzez numerowanie ich adresami z zakresu adresów prywatnych.
- Obowiązkowa piaskownica kontroli dostępu (MAC) lub filtrowanie: Zabezpiecza wrażliwe usługi, zezwalając lub odmawiając dostępu na podstawie adresów MAC określonych urządzeń, które są upoważnione do łączenia się z określoną siecią.
3 Filtrowanie poczty e-mail:
Ten rodzaj filtrowania adresów IP obejmuje automatyczne i ręczne przetwarzanie przychodzących wiadomości e-mail, organizowanie ich według wstępnie zdefiniowanych kryteriów oraz usuwanie wirusów i spamu. Ten filtr umożliwia dostarczanie użytkownikowi tylko czystych wiadomości w jego skrzynce odbiorczej.
Kilka z tych filtrów może również edytować wiadomości, na przykład dezaktywować złośliwe linki, zanim użytkownicy faktycznie je klikną. Kilka organizacji sprawdza wszystkie wychodzące wiadomości e-mail pod kątem monitorowania, czy ich pracownicy przestrzegają wymogów prawa.
Filtry poczty e-mail działają za pomocą różnych metod, takich jak dopasowywanie słowa kluczowego, typowego wyrażenia lub identyfikatora e-mail nadawcy. Inne zaawansowane rozwiązania wykorzystują techniki klasyfikacji dokumentów w oparciu o statystyki, reputację IP oraz algorytmy analizy wiadomości e-mail w celu zapobiegania dostaniu się wiadomości do bezpiecznych skrzynek pocztowych.
Ten typ filtrowania może stanowić problem, gdy adres IP z czarnej listy jest przenoszony do innej sieci. Sieć mogła zablokować odbieranie ruchu pocztowego z adresów IP umieszczonych na czarnej liście i wymagać skontaktowania się z różnymi opiekunami czarnej listy w celu usunięcia adresu.
Reguły filtrowania tras TCP/IP
Aby uzyskać dostęp do okna edytora filtrów tras TCP/IP, kliknij w oknie dialogowym Główne filtrowanie TCP/IP > wybierz przycisk filtrów routera. Reguły filtrowania tras są stosowane w urządzeniu globalnie bez powiązania z jakimkolwiek interfejsem. Można je jednak ograniczyć do interfejsu za pomocą modyfikatorów to i from w regule.
Ponieważ reguły są określone przed zastosowaniem, urządzenie nie zmienia kolejności zestawów reguł. Stosuje się je w kolejności, w jakiej zostały napisane. Używając Menedżera VPN 5000, po wybraniu różnych zestawów filtrów, zostaną one połączone w urządzeniu od pierwszego do ostatniego.
Sieć nie zostanie uwzględniona w tabeli routingu na wejściu lub wyjściu, jeśli nie jest to wyraźnie dozwolone przez reguły. Aby wszystkie inne numery sieci nie były filtrowane, ostateczna zasada musi brzmieć: allow 0.0.0.0.
Ponieważ trasy statyczne i bezpośrednie nie są odbierane przez interfejs i są konfigurowane w urządzeniu, są one zawsze instalowane i nie można ich filtrować.
Reguły określone wcześniej za pomocą Menedżera można sprawdzać lub edytować za pomocą interfejsu wiersza poleceń. Reguły pobierane z Managera są szyfrowane.
Zestaw reguł utworzony za pomocą okna edytora Filtra tras TCP/IP można zastosować za pomocą menu rozwijanych w oknie dialogowym.
Podstawowa składnia i reguły filtrowania tras IP
Każdy wiersz komentarza i adres IP muszą zawierać przynajmniej akcję w zestawie filtrów. Te składniki razem określają regułę filtrowania, którą maszyna/urządzenie stosuje później w celu wysyłania i odbierania pakietów routingu sieciowego.
Wiersze w filtrze routera powinny inicjować działania zezwól/odmów i wskaźnik komentarza: #
- Wiersze zaczynające się od allow określają, że informacje z pakietów routingu spełniających wszystkie warunki powinny być częścią tablicy routingu IP.
- Wiersze zaczynające się od deny określają, że informacje z pakietów spełniających wszystkie warunki nie powinny być częścią tablicy routingu IP.
- Wiersze zaczynające się od # określają, że tekst znajdujący się w wierszu jest w rzeczywistości komentarzem i należy go zignorować.
Po każdym wierszu zaczynającym się od zezwolenia lub odmowy powinien następować adres IP. Adres ten można określić na różne sposoby.
- Adresy mogą być wskazane w notacji dziesiętnej z kropkami. Jeśli skrajne prawe elementy mają wartość 0, są one traktowane jako symbole wieloznaczne.
- Format, który jest faktoryzowany, może być również wykorzystany, w którym zestawy składników są zastępowane w adresach IP. Te adresy IP są sformatowane jako #.#.#.{#,#,…}. Zestawy faktorów muszą znajdować się na końcu adresu. Dowolny składnik obecny po pozycji zestawu czynników jest przyjmowany jako 0.
- Do określenia adresu IP można również użyć liczb szesnastkowych.
Adresy mogą mieć na końcu opcjonalne pole /bits. Wskazuje liczbę bitów inicjujących z najważniejszymi, które będą brane pod uwagę przez instrument/urządzenie podczas porównywania adresu z regułą filtrowania w pakiecie routingu.
Opcje reguł filtrowania tras IP
Kierunki są zwykle określane przez oba lub przez wejście i wyjście. Jeśli kierunek nie jest określony, założenie jest jedno i drugie.
-
Reguły filtrowania tras oznaczające w są stosowane do pakietów routingu tylko przychodzących do urządzenia.
-
Reguły filtrowania tras oznaczające brak są stosowane do pakietów routingu wysyłanych tylko z urządzenia.
-
Reguły filtrowania tras wskazujące obie są stosowane do pakietów routingu w obu kierunkach.
Kiedy i jak używać filtrowania GeoIP
Jeśli prowadzisz firmę w Stanach Zjednoczonych i nie ma powodu, aby akceptować komunikację online z innych krajów na całym świecie, ogólnokrajowe filtrowanie adresów geoIP ma sens. Ale jeśli masz do czynienia z klientami za granicą, musisz mądrze pomyśleć o tym, kogo musisz zablokować.
Nawet jeśli nie dotyczy to obsługi klientów, być może korzystasz z usługi online lub oprogramowania hostowanego poza Stanami Zjednoczonymi, takiego jak hosting lub poczta internetowa. Więc musiałbyś pozwolić im przejść przez twoją zaporę ogniową.
Jednak może być wiele krajów, z których nie masz żadnego powodu, aby akceptować połączenia. Dzięki filtrowaniu geoIP możesz łatwo blokować narody, które mają historię pochodzenia złośliwego ruchu internetowego. Odcięcie adresów IP od narodów wydaje się skuteczne i bezproblemowe, ale dostosowanie ustawień geoIP jest mądrzejszą opcją.
Możesz zablokować tylko adres IP lub listę adresów IP, które są znane jako złośliwe. Jeśli jednak zablokujesz cały kraj, możesz zrobić kilka wyjątków i utworzyć reguły w zaporze ogniowej, które pozwolą na przechodzenie adresów IP z białej listy przez twój system.
Ten rodzaj modyfikacji może być bardzo pomocny, jeśli Twój personel wyjeżdża za granicę w celach biznesowych. Możesz także tymczasowo odblokować odwiedzany kraj lub dodać ich adresy IP do białej listy.
Często zadawane pytania – Filtrowanie IP
Filtrowanie IP jest lepsze niż nic. Ma jednak dwa problemy: adresy IP mogą być sfałszowane. W przypadku złamania jakiegokolwiek wewnętrznego instrumentu/maszyny złośliwy gracz może użyć go jako serwera proxy lub hosta skokowego do zaatakowania systemu.
IPFilter lub ipf to pakiet oprogramowania typu open source, który oferuje usługi NAT i zapory dla wielu systemów operacyjnych, takich jak Unix. Darren Reed jest opiekunem i autorem oprogramowania. IPFilter to zapora stanowa obsługująca protokoły IPv4 i IPv6.
Internet.com webopedia definiuje filtrowanie pakietów jako badanie przychodzących i wychodzących pakietów IP w celu kontrolowania dostępu do sieci, zatrzymywania lub przepuszczania ich na podstawie źródłowego lub docelowego adresu IP.
Wniosek
Na tym kończy się nasz przewodnik, który zawierał wszystkie podstawowe informacje, które musisz wiedzieć o filtrowaniu adresów IP. Chociaż może się to wiązać z kilkoma pułapkami, filtrowanie adresów IP jest naprawdę bardzo pomocne w dzisiejszych czasach.
Blokuje połączenia i chroni przed złośliwymi podmiotami i łączami, korzystając z wielu typów i technik filtrowania. Zapobiega również przedostawaniu się adresów IP z czarnej listy do sieci i powodowaniu jakichkolwiek szkód.
Musimy jednak powtórzyć, że jeśli chodzi o filtrowanie geoIP, zawsze lepszą opcją jest dostosowanie ustawień filtra zamiast blokowania wszystkich połączeń z zagranicy.
Mamy nadzieję, że spodobał Ci się nasz przewodnik po filtrowaniu adresów IP. Zapraszam do komentowania w przypadku jakichkolwiek pytań.