blackhole mikrotik bgp — ddos attack reflection

Eduard Yamaltdinov

5 лет назад

Chapter 1. План конфигурации:

1) политика (/routing filter)
2) объявление сети для bgp (/routing bgp network)
3) static route на /32 (если в пункте два указал syncronize=yes)

Section 1. Проверка:

/routing bgp advert

set-bgp-communities=9049:6666 - установить bgp-community
bgp-community - фильтр по маршрутам, у которых уже есть указанное community

Необходимые действия:

where

ip: 87.251.41.268

attacked client

as number your provider: 9049

/ip route
add bgp-communities="" distance=244 dst-address=87.251.41.268/32 type=blackhole

/routing bgp network
add comment="For BLACKHOLE" network=87.251.41.268/32

/routing filter
add action=accept address-family=ip append-bgp-communities="" chain=TO-DOM.RU comment=ddos prefix=87.251.41.268 prefix-length=32 set-bgp-communities=9049:6666

check that the subnet is being announced via bgp

/routing bgp advertisements print peer=galaxydata

PEER PREFIX NEXTHOP AS-PATH 
galaxydata 87.251.41.268/32 168.134.164.31

Использование черной дыры (blackhole) на роутере MikroTik для отражения атаки типа DDoS-reflection с использованием протокола BGP

Общая информация о проблеме

Атаки типа Distributed Denial of Service (DDoS), особенно отражение атак (reflection), представляют собой серьезную угрозу сетевой инфраструктуре. В таком сценарии злоумышленник подделывает исходящий IP адрес пакетов, заставляя легитимные серверы или маршрутизаторы отвечать обратно жертве с усиленным трафиком. Это ведет к значительному потреблению полосы пропускания и нарушению обслуживания.

В данном руководстве мы рассмотрим использование черного маршрута («черная дыра») на устройстве MikroTik, работающем с протоколом BGP, для эффективного противодействия таким атакам.

Пошаговая инструкция по настройке blackhole-маршрута

Предварительные условия:

Функционирующий роутер MikroTik с установленной операционной системой RouterOS.
Базовые знания конфигурации BGP.
Доступ к провайдерам верхнего уровня, поддерживающим blackhole-передачу маршрутов через сообщества BGP.

Шаг 1: Понимание концепции blackhole-маршрутизации

Черный маршрут — это специальный маршрут, направляющий пакеты «в никуда» (например, в интерфейс blackhole). Когда трафик соответствует этому маршруту, он немедленно отбрасывается без дальнейшей обработки. Таким образом предотвращается потребление ресурсов сети дальше точки фильтрации.

Шаг 2: Настройка объявления blackhole-маршрутов через BGP

Чтобы объявлять черный маршрут через BGP, выполните следующие шаги:

Этап 1: Создание статического blackhole-маршрута

Используйте следующую команду:

/ip route add dst-address=<атакуемый_IP_адрес> gateway=blackhole comment="Blackhole для защиты от DDoS"

Замените <атакуемый_IP_адрес> на реальный IP адрес жертвы атаки.

Этап 2: Конфигурация атрибута BGP-сообщества

Провайдеры часто требуют специальных значений сообществ BGP для распознавания черных маршрутов. Например, если ваш провайдер использует стандартное сообщество 65535:666, конфигурируйте следующим образом:

/routing filter add chain=output protocol=bgp set-community=65535:666 action=accept

Это гарантирует, что экспортируемые маршруты будут иметь необходимые значения сообщества.

Этап 3: Экспортирование blackhole-маршрута через BGP

Создаем правило экспорта только черного маршрута:

/routing filter add chain=output prefix-list=ddos_blackhole_list action=accept
/ip firewall address-list add list=ddos_blackhole_list address=<атакуемый_IP_адрес>

Затем включаем экспорт маршрутов BGP:

/bgp instance set default redistribute-routes=statics

Шаг 3: Мониторинг и проверка эффективности

После настройки черного маршрута следите за входящим трафиком, чтобы убедиться в действенности мер. Вы должны увидеть снижение объема вредоносного трафика, достигающего ваших сервисов.

Для мониторинга можете воспользоваться встроенными инструментами вроде команды /interface graph или внешними решениями мониторинга для отслеживания изменений объемов трафика до и после активации blackhole-маршрута.

Заключение

Настроив blackhole-маршрутизацию на вашем роутере MikroTik, вы сможете существенно снизить последствия атак типа DDoS-reflection путем немедленного сброса вредоносного трафика прямо на границе вашей сети. Обязательно согласовывайте с вашим провайдером верхний уровень соответствующие сообщества BGP и обработку blackhole-маршрутов для достижения наилучших результатов.