The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

Безопасность сети (защита от подмены адресов) на основе 802.1х и SFlow (arp mac ip security auth vpn)


<< Предыдущая ИНДЕКС Поиск в статьях src Установить закладку Перейти на закладку Следующая >>
Ключевые слова: arp, mac, ip, security, auth, vpn,  (найти похожие документы)
From: Vlad Pinzhenin <vlad at lanbilling.ru> Newsgroups: email Date: Mon, 10 Sep 2004 14:31:37 +0000 (UTC) Subject: Безопасность сети (защита от подмены адресов) на основе 802.1х и SFlow Безопасность сети на основе 802.1х и SFlow, "идеальная и недостижимая" Введение -------- Причин побуждающих обратиться к обозначенной в названии статьи теме, несколько. Во первых это сравнительная новизна спецификаций RFC 3176 (SFlow) и IEEE 802.1x, во вторых относительная скудность информации об их возможных применениях, особенно на русском языке, а в третьих и, пожалуй, самой значимой причиной является серьезный интерес со стороны операторов мультисервисных сетей к решениям на базе 802.1х и SFlow, уже обладающих соответствующей аппаратурой, поддерживающей обе спецификации. Статья состоит из двух частей: первая часть описывает спецификацию IEEE 802.1x и затрагивает основные особенности применения спецификации на практике, поднимая вопросы уязвимости предлагаемой защиты, ответ на которые дается во второй части статьи, описывающей решение, позволяющее избежать негативных моментов, выявленных на практике, в ходе реальных внедрений. В статье использованы материалы переписки между техническими специалистами сетевого департамента московского представительства компании Hewlett Packard и европейским центром компетенции HP, материалы статьи "Procurve networking security solutions: 802.1x and Guest VLANs", а также собственный опыт разработки и внедрений модуля тарификации SFlow АСР LANBilling специалистами компании "Сетевые решения", аппаратура которой была любезно предоставлена московским представительством компании Hewlett Packard. Эволюция методов защиты от краж трафика (подмены адресов) и несанкционированного доступа (НСД) к сетевым ресурсам ------------------------------------------------------------ За последние несколько лет явно вырос темп появления на рынке новых операторов, предоставляющих услуги передачи данных и телефонии (как классической так и в особенности VoIP) разного уровня. От домашних сетей до крупных провайдеров услуг, являющихся владельцами собственных сетей передачи данных (СПД). Рост количества коммерческих операторов был прогнозируемым, однако практика показала скромность прогноза. Помимо появления новых операторов явно ощущается тенденция апгрейда сетевого оборудования в крупных организацих, предъявляющих новые требования как к пропускной способности так и к безопасности внутри корпоративных сетей, которые не могут быть обеспечены аппаратурой, приобретенной 5-10 лет назад в тот момент когда в центре сети нормой было наличие 100 - Мбитного неуправляемого коммутатора второго уровня. Особенностью объединяющей большой процент операторов СПД является то, что большинство из них предоставляя услуги передачи данных по выделенным каналам взымают с абонентов плату пропорциональную объему услуги (в большинстве случаев объему трафика) оказанной абоненту, который на сетевом уровне в общем случае идентифицируется сетевым адресом абонентского устройства (в большинстве случаев IP адресом). С того момента как биллинговые системы тарифицируют объем услуг, оказанных абоненту на основе IP адреса клиентского устройства, непорядочные пользователи применяют методы, позволяющие обмануть оператора, которые как правило сводятся к получению доступа к ресурсам сети с адресов, не принадлежащих себе. Тем самым, в лучшем случае получая услугу с адресов, которые не тарифицируются или в худшем случае с адресов порядочных абонентов, что влечет расходование балансов этих пользователей, под чьими адресами был осуществлен доступ. Одновременно с совершенствованием механизмов обмана операторов совершенствуются и механизмы защиты от НСД специалистами по сетевой безопасности. Одним из первых применявшихся средств защиты были статические ARP таблицы, прописываемые на маршрутизаторах. Однако как средство защиты от подмены адресов данная методика просуществовала недолго, ввиду того, что смена MAC и IP адресов оказалась достаточно простой задачей для подготовленных пользователей. Следующим этапом чуть усложняющим НСД совместно со статическими arp таблицами стало применение сетевой аппаратуры с базовыми возможностями port security когда на любой клиентский ethernet порт аппаратура позволяла назначить единственный MAC адрес с которого разрешался доступ к ресурсам. Эта, так называемая защита, также не является надежным средством исключающим НСД со стороны злоумышленника. Кроме того, подобный метод сложен в администрировании, т.к. требует как управления arp таблицами на маршрутизаторе, так и таблицами MAC адресов на сетевых устройствах, что при наличии разветвленной сети со сложной топологией и количеством пользователей более 100 становится настоящей головной болью администраторов и в конечном итоге существенно увеличивает накладные расходы на содержание и управление СПД, не говоря уже об относительной дороговизне аппаратуры поддерживающей MAC based port security по сравнению с неуправляемыми коммутаторами второго уровня. На сегодняшний момент применяются три основных способа защиты от подмены адресов пользователями сети или их вариации. Самый распространенный и популярный у операторов среднего уровня и в домашних сетях - тунеллирование. Подробно на нем останавливаться не будем т.к. он в деталях описан в статье "VPN и тунеллирование" (3). Суть его в том, что для того что бы иметь доступ к ресурсам абоненту необходимо установить соединение "точка - точка" и получить маршрутизируемый адрес от VPN сервера, что возможно лишь при знании пароля доступа. Опорные адреса базовой сети при этом не маршрутизируются. Следующий надежный способ защиты - применение полноценного, как правило, шифрованного канала VPN между абонентом и точкой доступа оператора. Этот способ требует наличия специализированного ПО, как на стороне абонента, так и на стороне сервера доступа. Хорошим примером ПО, реализующего указанный способ защиты является популярный сегодня пакет CheckPoint Firewall-1 совместно с функцией VPN, где в качестве клиентской части выступает SecuRemote. Этот способ и ему подобные не лишен недостатков и главным из них является дороговизна, либо сложность реализации в случае если коммерческий продукт заменяется ПО собственной разработки. Последним и самым "свежим" на сегодняшний день способом защиты от НСД является стандарт 802.1х, названный в RU.UNIXFAQ "идеальным и недостижимым". Позволю себе несогласиться с обоими прилагательными, преднамеренно заключенными в кавычки в название статьи, т.к. данный стандарт реализуем без существенных сложностей, ввиду того, что на рынке присутствует уже достаточно программно-аппаратных решений для развертывания соответвующей инфраструктуры, а, кроме того, к сожалению, не является идеальным для обеспечения 100% защиты от НСД даже в тех сетях где применяется только 802.1х совместимое оборудование. Однако при условии применения 802.1х совместно с протоколом Sflow, такими возможностями коммутаторов HP ProCurve как "port isolation group", "MAC address lockdown", "ACL" и при наличии механизмов контроля, за возможной подменой IP и MAC адресов, о которых мы будем говорить во второй части статьи, данный стандарт приближает предложенный способ защиты к идеальному, хотя и не самому простому с точки зрения технической реализации. 802.1х ------ В структуре решения по обеспечению защиты от НСД на базе стандарта 802.1х выделяется три основных компонента: суппликант (supplicant), коммутирующее устройство с поддержкой 802.1х (authenticator) и сервер аутентификации (authentication server). Суппликант - программный код на стороне клиента, который обеспечивает взаимодействие аппаратуры клиента с пограничным сетевым устройством (edge network device) в соответствии со спецификациями 802.1х. Именно суппликант обеспечивает передачу атрибутов доступа к ресурсам на коммутатор. Authenticator - пограничное сетевое устройство, которое обеспечивает проверку полномочий абонента на доступ к ресурсам сети. Это устройство (коммутатор) осуществляет запрос на проверку полученных атрибутов доступа в сеть от суппликанта на сервер аутентификации, в качестве которого выступает RADIUS сервер и принимает решение о переводе соответствующего Ethernet порта в активное состояние. Сервер аутентификации - RADIUS сервер, с поддержкой EAP метода аутентификации. Сервер аутентификации имеет доступ к БД учетных записей, на основе данных которой и принимается решение о возможности предоставления доступа для того или иного клиента в зависимости от ряда параметров, ключевым из которых является баланс абонента, рассматривая применение решения на базе 802.1х в структуре сетей коммерческих операторов связи. Ключевой идеей стандарта 802.1х являет то, что по умолчанию порт пограничного устройства находится в неактивном состоянии и не обеспечивает передачу данных (исключением является возможность коммутаторов HP ProCurve предоставляет доступ абонентов не поддерживающих 802.1х в "гостевые" VLAN (Guest VLAN) см. (1)) После успешной аутентификации порт устройства переводится в активное состояние и обеспечивает передачу данных. Таким образом, в зависимости от полномочий абонента, решение на базе 802.1х позволяет управлять непосредственно портами 802.1х совместимого коммутатора на канальном уровне. Порты коммуатора могут динамически менять свое состояние из активного в пассивное и наоборот. Это отличает данное решение от других в которых также применяется RADIUS аутентификация PPPoE соединений коммутатором. Важно понимать, что однажды аутентифицировавшись корректно абонент посредством суппликанта переводит порт в активное состояние (в этом суть класса решений Port Security), что создает определенную уязвимость, называемую "Piggy backing", устранение которой является основной темой второй части этой статьи: будучи переведенным в активное состояние правильной аутнтификацией ("поросенок открывает калитку") порт коммутатора обеспечивает передачу данных всего сетевого сегмента подключенного к нему даже в том случае если используется MAC address lockdown т.к. последний с легкостью подделывается недобропорядочными пользователями ("поросята выходят из загона"). Для реализации Piggy backing достаточно подключить концентратор к 802.1х порту коммутатора (как правило это проделывает сам пользователь) и корректно аутентифицировавшись пользоваться ресурсами сети с поддельного IP адреса, не забыв присвоить правильный MAC адрес компьютеру. В тех случаях когда абонентское устройство не поддерживает 802.1х в коммутаторах HP ProCurve существует возможность провести Web Based Authentication для того, что бы активизировать соответствующий порт коммутатора. В данном случае коммутатор является мини www сервером, обратившись через броузер к которому можно передать атрибуты доступа к сети путем заполнения соответствующей вэб формы. Комплексное решение по обеспечению безопасности на базе 802.1x, SFlow, агентов LANBilling RADIUS и SFlow Как было показано выше внедрение схемы 802.1х само по себе не обеспечивает должного уровня защиты от НСД в сетях коммерческих операторов связи, однако комбинирование применения стандарта 802.1х с протоколом экспорта статистической информации SFlow, а также с внешними механизмами контроля доступа, реализованными, например, в агентах АСР LANBilling SFlow и RADIUS позволяет обеспечить должный уровень безопасности. Суть предлагаемого решения защиты от Piggy backing в следующем: совместить 802.1x аутентификацию доступа к ресурсам сети абонентов через RADIUS агент LANBilling и учет (тарификацию) сгенерированного абонентами трафика при помощи SFlow агента. Данное совмещение позволяет SFlow агенту АСР LANBilling выявлять несоответствия в дэйтаграммах SFlow, и блокировать тот трафик, который сгенерирован абонентами, аутентификация которых не была успешной, но чей трафик проходит через активные порты коммутатора. Признаком по которому осуществляется принятие решение о блокировке трафика является отсуствие корректного значения RADIUS user ID в SFlow дэйтаграммах. В подобных случаях агент запускает внешние процедуры блокировки с соответствующими параметрами, основной из которых это IP адрес с которого был осуществлен доступ. Существует несколько вариантов блокировки паразитного трафика, самый распространенный из которых - внесение соответвующего ACL в коммутатор 3-го уровня (HP ProCurve 5300xl или 9300xl). Применение данной схемы помимо очевидных плюсов в защите от НСД позволяет осуществить online отключение (и подключение) абонентов от услуги по истечению балансных средств на рассчетном счете абонента, также посредством внешних процедур, оказывающих активное воздействие на, в общем случае, транспортную систему. В частности оба агента, как SFlow, так и RADIUS (который в одном из своих режимов способен тарифицировать услугу доступа по выделенным каналам по объему данных) имеют в своем составе модуль контроля доступа, который обеспечивает запуск внешних процедур блокировки/разблокировки с соответвующими параметрами. Огромную помощь в написании статьи оказали: - Вадим Плесский (московское представительство Hewlett Packard, Business Manager HP ProCurve Networking Business) - Дмитрий Першин (московское представительство Hewlett Packard, технический консультант) - Александр Гуськов (компания Вимком Оптикс, Москва) Ardon Vos (Центр Компетенции HP в Европе) (1) "Procurve networking security solutions: 802.1x and Guest VLANs" http://www.hp.com/rnd/pdf_html/guest_vlan_paper.htm (2) "Open and Free 802.1x" http://www.interop.com/lasvegas2004/pdf/opensource.pdf (3) "Узел доступа VPN и тунеллирование" http://www.lanbilling.ru/vpn_solution.html (с) Сетевые решения, 2004 Владислав Пинженин © Компания Сетевые решения (http://www.lanbilling.ru/). Все права защищены.

<< Предыдущая ИНДЕКС Поиск в статьях src Установить закладку Перейти на закладку Следующая >>

Обсуждение [ RSS ]
 
  • 1, Денис Т., 00:46, 20/12/2004 [ответить] [смотреть все]
  • +/
    Добрый день,
    с таким успехом можно поставить шлюз - и не какие дополнительные средства защиты не спасут.
     

    Ваш комментарий
    Имя:         
    E-Mail:      
    Заголовок:
    Текст:





      Закладки на сайте
      Проследить за страницей
    Created 1996-2017 by Maxim Chirkov  
    ДобавитьРекламаВебмастеруГИД  
    Hosting by Ihor