Newsgroup: it.comp.reti.locali
Titolo: Ip spoofing domanda

Ricevo questo ip spoofing:
No. Time                  Source IP              Destination IP         Note
  1|08/14/2006 20:10:26  |
192.168.1.2:3158
      |
192.168.1.10:4662
 
|ATTACK
    ip spoofing - WAN TCP
e non capisco com'è possibile dato che il router ha ip 192.168.1.1 e il 
source ip 192.168.1.2 non esiste nella mia rete locale.
E' quindi possibile accedere dall'esterno con un numero di rete locale? 

Ale ha scritto:

Il pacchetto in ingresso sull'interfaccia WAN di un router/modem 
dovrebbe avere un SourceIP pubblico e mai privato (la sai la differenza 
vero?).
Nel tuo caso invece il SourceIP è privato (è stato falsificato apposta), 
quindi se un pacchetto così fatto riesce ad arrivare all'interno della 
tua LAN (baypassando router e/o firewall) viene visto, da tutti gli host 
presenti in LAN, esattamente come un pacchetto che è stato originato 
all'interno della tua LAN.
In realtà il pacchetto proviene dall'esterno ma potrebbe essere 
sfruttato per fare danno all'interno della LAN.
Il fatto che all'interno della tua LAN non siano presenti host o 
apparati con IP 192.168.1.2 non ha nessuna importanza (l'intruder non 
conosce ne la subnet che tu stai usando ne gli indirizzi che hai 
assegnato o meno; procede alla cieca per tentativi).
E' caldamente consigliato controllare il traffico sia in *ingresso* che 
in *uscita* dall'interfaccia WAN e bloccare tutti i pacchetti con 
indirizzo IP (sorgente e/o destinazione) privato, tramite opportune ACL.
Ecco un estratto dell'ACL che uso abitualmente in ingresso...
access-list 101 deny   ip 127.0.0.0 0.255.255.255 any log-input
access-list 101 deny   ip 0.0.0.0 0.255.255.255 any log-input
access-list 101 deny   ip 10.0.0.0 0.255.255.255 any log-input
access-list 101 deny   ip 169.254.0.0 0.0.255.255 any log-input
access-list 101 deny   ip 172.16.0.0 0.15.255.255 any log-input
access-list 101 deny   ip 192.168.0.0 0.0.255.255 any log-input
access-list 101 deny   ip 224.0.0.0 31.255.255.255 any log-input
access-list 101 deny   ip 255.0.0.0 0.255.255.255 any log-input
...ed in uscita per evitare la fuoriuscita di pacchetti (quindi 
informazioni) dalla LAN:
access-list 102 deny   ip 127.0.0.0 0.255.255.255 any log-input
access-list 102 deny   ip 10.0.0.0 0.255.255.255 any log-input
access-list 102 deny   ip 169.254.0.0 0.0.255.255 any log-input
access-list 102 deny   ip 172.16.0.0 0.15.255.255 any log-input
access-list 102 deny   ip 192.168.0.0 0.0.255.255 any log-input
access-list 102 deny   ip any 127.0.0.0 0.255.255.255 log-input
access-list 102 deny   ip any 10.0.0.0 0.255.255.255 log-input
access-list 102 deny   ip any 169.254.0.0 0.0.255.255 log-input
access-list 102 deny   ip any 172.16.0.0 0.15.255.255 log-input
access-list 102 deny   ip any 192.168.0.0 0.0.255.255 log-input
N.B. Blocco anche gli IP address di Loopback, i broadcast, l'IGMP e 
quella schifezza usata da Win che è 169.254.x.x
Attacchi di questo tipo sono all'ordine del giorno, configura il tuo 
router/firewall per bloccarli e poi fregatene.
-- 
Akira

"Akira" <b.chicco_NOSPAM_@_NOSPAM_gmail.com> ha scritto nel messaggio 
news:44e0e823$0$30239$4faf...@reader1.news.tin.it...

Quindi devo bloccare tutti i numeri della rete locale nella direzione WAN to 
LAN? 

 LAN? 
Sì esatto, e bloccarli anche nella direzione opposta cioè LAN to WAN.
Che in termini un po' più precisi significa: controllare il traffico sia 
in *ingresso* (cioè WAN to LAN) che in *uscita* (cioè LAN to WAN) 
dall'interfaccia WAN, bloccando tutti i pacchetti con indirizzo IP 
(sorgente e/o destinazione) privato (cioè 10.x.x.x, 172.16.x.x e 
192.168.x.x) sia in ingresso che in uscita.
Inoltre io bloccherei perlomeno anche 127.x.x.x, 255.x.x.x e 169.254.x.x
-- 
Akira