【網(wǎng)絡(luò)安全】【使用防火墻防止DoS 攻擊】

1、使用防火墻防止DoS攻擊【實(shí)驗(yàn)名稱】使用防火墻防止DoS抗攻擊【實(shí)驗(yàn)?zāi)康摹坷梅阑饓Φ目构艄δ芊乐筍YN Flood攻擊【背景描述】某公司使用防火墻作為網(wǎng)絡(luò)出口設(shè)備連接到Internet,并且公司內(nèi)部有一臺對外提供服務(wù)的FTP服務(wù)器。最近網(wǎng)絡(luò)管理員發(fā)現(xiàn)Internet中有人向FTP服務(wù)器發(fā)起SYN Flood攻擊,造成FTP上存在大量的半開放連接,消耗了服務(wù)器的系統(tǒng)資源?！拘枨蠓治觥恳乐箒碜酝獠烤W(wǎng)絡(luò)的DoS攻擊,可以使用防火墻的抗攻擊功能。【實(shí)驗(yàn)拓?fù)洹?【實(shí)驗(yàn)設(shè)備】防火墻1臺 PC 2臺(一臺作為FTP服務(wù)器,一臺模擬外部網(wǎng)絡(luò)的攻擊者FTP服務(wù)器軟件程序SYN Flood攻擊軟件程序 11

2、0 【預(yù)備知識】網(wǎng)絡(luò)基礎(chǔ)知識防火墻工作原理DoS攻擊原理【實(shí)驗(yàn)原理】SYNFlood是一種常見的DoS攻擊,這種攻擊通過使用偽造的源IP地址,向目標(biāo)主機(jī)(被攻擊端發(fā)送大量的TCP SYN報文。目標(biāo)主機(jī)接收到SYN報文后,會向偽造的源地址回應(yīng)TCP SYN_ACK報文以等待發(fā)送端的ACK報文來建立連接。但是由于發(fā)送端的地址是偽造的,所以被攻擊端永遠(yuǎn)不會收到合法的ACK報文,這將造成被攻擊端建立大量的半開放連接,消耗大量的系統(tǒng)資源,導(dǎo)致不能提供正常的服務(wù)。防火墻的抗攻擊功能可以對SYN Flood攻擊進(jìn)行檢測,阻止大量的TCP SYN報文到達(dá)被攻擊端,保護(hù)內(nèi)部主機(jī)的資源?！緦?shí)驗(yàn)步驟】第一步:配置防

3、火墻接口的IP地址進(jìn)入防火墻的配置頁面:網(wǎng)絡(luò)配置>接口IP,單擊<添加>按鈕為接口添加IP地址。為防火墻的LAN接口配置IP地址及子網(wǎng)掩碼。 為防火墻的WAN接口配置IP地址及子網(wǎng)掩碼。111 第二步:配置端口映射規(guī)則為了使Internet中的用戶可以訪問到內(nèi)部的FTP服務(wù)器,需要在防火墻上使用端口映射規(guī)則將FTP服務(wù)器發(fā)布到Internet中。進(jìn)入防火墻配置頁面:安全策略>安全規(guī)則,單擊頁面上方的<端口映射規(guī)則>按鈕添加端口映射規(guī)則。規(guī)則中的“公開地址”為防火墻外部接口(WAN的地址;“內(nèi)部地址”為內(nèi)部FTP服務(wù)器的地址;“內(nèi)部服務(wù)”為FTP服務(wù)器提供FT

4、P服務(wù)使用的端口號,這里使用默認(rèn)的21端口(FTP;“對外服務(wù)”為Internet用戶訪問FTP服務(wù)器時使用的在外部看到的端口號,這里也使用默認(rèn)的21端口(FTP。 第三步:驗(yàn)證測試112在內(nèi)部PC上安裝好FTP Server程序,并進(jìn)行相應(yīng)的配置。在外部PC上測試到達(dá)FTP服務(wù)器的連通性,注意這里使用的FTP目標(biāo)地址為。防火墻將把發(fā)送到,端口為21的請求重定向到內(nèi)部的FTP服務(wù)器。外部PC可以通過預(yù)先設(shè)置的用戶名和密碼登錄FTP服務(wù)器。 第四步:實(shí)施SYN Flood攻擊在外部PC上使用SYN Flood工具向FTP服務(wù)器發(fā)起攻擊。此時在FTP服務(wù)器上通過Wind

5、ows命令netstat an可以看到外部主機(jī)與FTP服務(wù)器的21端口建立了大量的半開放連接,狀態(tài)為SYN_RECEIVED。 第五步:配置抗攻擊進(jìn)入防火墻配置頁面:安全策略>抗攻擊,單擊WAN接口后面的操作圖標(biāo)。113 啟用抗攻擊功能,并開啟抗SYN Flood攻擊選項(xiàng),設(shè)置SYN包速率閾值為10pps(小于實(shí)際攻擊端的發(fā)包速率。 第六步:驗(yàn)證測試在外部PC上使用SYN Flood工具再次向FTP服務(wù)器發(fā)起攻擊。此時在FTP服務(wù)器上通過Windows命令netstat an可以看到外部主機(jī)與FTP服務(wù)器的21端口只建立了少量的半開放連接(大約10個,其他所有的SYN Flood攻擊報文已經(jīng)被防火墻阻斷。114第二章 防火安全墻技術(shù)實(shí)驗(yàn) 【注意事項(xiàng)】 設(shè)置的防火墻 SYN Flood 檢測閾值 (SYN 包速率 要小于實(shí)際攻擊端的發(fā)包速率. 防火墻是根據(jù) SYN 報文速率對 SYN Flood 攻擊進(jìn)行檢測, 所以防火墻在