大连外贸网站建设,产品展示网站含后台网站模板下载,eclipse 网站开发教程,看设计案例的有哪些网站之前在一个项目中遇到了与ICMP重定向相关的问题#xff0c;因为缺乏对ICMP相关内容的了解#xff0c;排查了很长一段时间才查出来。本文给大家简要地介绍一下ICMP及ICMP重定向相关的内容。
1、ICMP的概念 ICMP#xff08;Internet Control Message Protocol#xff09;网际… 之前在一个项目中遇到了与ICMP重定向相关的问题因为缺乏对ICMP相关内容的了解排查了很长一段时间才查出来。本文给大家简要地介绍一下ICMP及ICMP重定向相关的内容。
1、ICMP的概念 ICMPInternet Control Message Protocol网际报文协议是IP层的附属协议是介于IP层和TCP层之间的协议一般认为属于IP层协议。IP协议用它来与其他主机或路由器交换错误报文和其他的一些网络情况。在ICMP包重携带了控制信息和故障恢复信息。主要用于路由器主机向其他路由器或者主机发送出错报文的控制信息。ICMP报文格式如下图所示 ICMP报文装在IP数据报中作为其中的数据部分加上数据报的首部组成IP数据报。
2、ICMP重定向 ICMP重定向报文是ICMP控制报文中的一种。在特定的情况下当路由器检测到一台机器使用非优化路由的时候它会向该主机发送一个ICMP重定向报文请求主机改变路由。路由器也会把初始数据报向它的目的地转发。 网络中的路由器通过相互之间的共同努力将用户的数据包转发到目的地。通常情况下主机都会将去往远程网络的数据包发送到路由器路由器再尽最大努力转发数据。但是在某些情况下收到数据包的路由器可能并不是去往目的地的最优选择也就是说该路由器并不在源与目标的路径当中或者说数据源应该将数据交给其它路由器来转发。如果某台路由器真的发现自己不应该为用户转发数据而希望让用户选择其它路由器来转发数据那么它就会通过向数据源发送ICMP重定向ICMP Redirect来告诉对方让对方不要再将数据包发向自己而应该发到其它路由器。 路由器向源发送ICMP重定向的情况有两种 ICMP重定向情况1当路由器从某个接口收到数据包后还要将数据包从同一个接口发往目的地就是路由器收到数据包的接口正是去往目的地的出口时则会向源发送ICMP重定向通告对方直接将数据包发向自己的下一跳即可不要再发给自己。 1server2如果要与internet通讯首先是要把报文发送给server1的因为server2的网关指向server1的。 2server1收到报文并检查它的路由表发现router是发送改报文的下一跳。当它把报文发送给router时server1检测到这个报文的发送出去的接口与接收到的接口是相同的这样ICMP重定向就触发了。 3server1认为server2应该把默认路由指向router所以就发送ICMP重定向报文给server2告诉它以后把报文发送给router。 ICMP重定向情况2数据包的源IP和自己转发时的下一跳IP地址是同网段时则会向源发送ICMP重定向通告对方直接将数据包发向自己的下一跳。 触发ICMP重定向的过程 1PC机要与Internet网络进行通信由于它的网关指向R1路由器所以需要向R1发送ARP请求包。 2当R1收到ARP请求包以后首先要进行响应 然后查路由表再转发数据报这时R1会发现它的下一跳与与自己的上一跳是同一网段的所以触发ICMP重定向。 3向PC发一个重定向的消息告诉它下次直接把数据报转发给R2。 3、利用ICMP重定向进行攻击的原理 ICMP重定向使得客户端的管理工作大大减少使得对于主机的路由功能要求大大降低。该功能把所有的负担推向路由器学习。但是也可能埋下安全隐患利用这点可以进行攻击和网络窃听。 如果某主机A支持ICMP重定向那么主机B发一个IMCP重定向给它以后它发出的所有到指定地址的报文都会转发主机B这样B就可以达到窃听目的了。 当然拿Windows操作系统来说它会对ICMP报文进行检查如果这个重定向不是网关发送的会被直接丢弃。不过伪造一个网关的数据包很容易。另外如果刻意伪造许多虚假的ICMP重定向报文主机路由表就可能被改的乱七八糟造成网络的瘫痪。
4、如何禁止ICMP重定向功能
4.1、在Linux系统中禁用 在系统后台找到sysctl.conf文件将其中以下数值更改为0
vim /etc/sysctl.conf
net.ipv4.conf.eth0.accept_redirects 0
net.ipv4.conf.eth1.accept_redirects 0
net.ipv4.conf.lo.accept_redirects 0
net.ipv4.conf.default.accept_redirects 0
net.ipv4.conf.all.accept_redirects 0
4.2、在Windows系统中禁用 在Windows系统下可以通过防火墙和IP策略拒绝接收ICMP报文在本地注册表中找到以下路径 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters 将 EnableICMPRedirects 值设为0即可。 如果在上述注册表路径中找不到EnableICMPRedirects项可以手动新建一个DWORD类型的项 5、关于ICMP重定向的问题实例 之前在某项目中遇到一个与ICMP重定向相关的问题当时Linux系统中关闭了ICMP重定向的选项导致发出去的数据出现严重的抖动和丢包问题。具体问题可以参见我之前写的文章文章最后一部分
