TCP авторизация

TCP-авторизация предназначена для защиты сетевой инфраструктуры от атак, связанных с подменой IP-адресов (IP-spoofing), а также от ситуаций, когда злоумышленник не может установить полноценное TCP-соединение. Данный механизм позволяет проверить подлинность отправителя TCP-пакетов и минимизировать риски несанкционированного доступа.

Основные команды и их назначение

Проверка наличия IP-адреса в таблице доверенных узлов

-c insert -- ! -m hmark id 77 status valid -j TCPAUTH 1 type hs atype hs

Если IPv4-адрес отправителя отсутствует в таблице "host mark" ID 77 или его статус "valid" истёк, выполняется TCP-авторизация с применением RST на SYN и RST на SYN+ACK.

Добавление IP-адреса в доверенную таблицу

-c insert -- -m verdict tcpauth valid -j HMARK id 77 value 1 lifetime 3600

При успешном прохождении TCP-авторизации IPv4-адрес отправителя добавляется в "host mark" ID 77 со значением "1" и временем жизни 3600 секунд.

Обработка неудачной авторизации

-c insert -- -m verdict tcpauth invalid -j STATS TCP_AUTH -j DROP

В случае неуспешной авторизации пакет фиксируется в статистике с тегом "TCP_AUTH" и отбрасывается.

Полный пример конфигурации:

-c insert -- ! -m hmark id 77 status valid -j TCPAUTH 1 type hs atype hs
-c insert -- -m verdict tcpauth valid -j HMARK id 77 value 1 lifetime 3600
-c insert -- -m verdict tcpauth invalid -j STATS TCP_AUTH -j DROP
-c insert -- -j VERDICT clear

Рекомендации по применению

Выбор метода TCP-авторизации определяется характеристиками сервиса и параметрами сети, инициирующей или принимающей подключение. В зависимости от этих факторов рекомендуется применять различные механизмы проверки.

Настоящий документ предоставляет сведения о применении TCP-авторизации в различных сетевых инфраструктурах. Перед внедрением рекомендуется тестирование специфических сценариев, включая нестандартные приложения.

Определение совместимости: Авторизация считается прозрачной для пользователя, если выполняется автоматически и не требует дополнительных действий, таких как обновление страницы или повторное установление соединения.

Веб-приложения

Последнее обновление рекомендаций: 13 июля 2023 г.