Wie kann sich eine SYN-Flut in diesem Szenario auf einen Router auswirken?
Ich verwende zwei Router in meinem Heimnetzwerk, wie in dieser Frage beschrieben (Router B im Diagramm). Daher ist Router B nicht über das Internet erreichbar.
Als ich die Protokolle dieses Routers durchging, war ich überrascht, was als "SYN-Flut" protokolliert wurde. Ich habe mehrere Einträge wie:
18. November 21:27:50 [ANGRIFF]: SYN-Flut von 173.194.222.188
18. November 12:58:16 [ANGRIFF]: SYN-Flut von 209.85.233.188
Es gibt 3-4 solcher Einträge pro Tag . Ich habe keine Betriebsstörung bemerkt. Die IPs sollen von Unternehmen wie Google oder Microsoft stammen, aber irgendetwas sagt mir, dass sie gefälscht sind.
Fragen
- Wie kann ein Router, auf den über das Internet nicht zugegriffen werden kann, Gegenstand eines solchen Angriffs sein? Beachten Sie, dass ich die volle Kontrolle über alle daran angeschlossenen Geräte habe und sie alle vertrauenswürdig / aktuell sind.
- Hat ein SYN-Flood-Angriff gegen einen Heimrouter überhaupt eine Bedeutung? Ich hatte den Eindruck, dass SYN-Flutangriffe mit Servern zusammenhängen.
Ich habe mir auch diese Frage angesehen und sollte beachten, dass keine Portweiterleitung aktiv ist.
Antworten
Wenn Sie eine Verbindung von einem Gerät im LAN von Router B zu einem externen Dienst herstellen, führen Router B und A jeweils NAT (Network Address Translation) durch, damit Ihr Gerät eine Antwort erhalten kann.
Grundsätzlich ist also ein temporärer Port geöffnet, um die Antworten zu empfangen und an Ihr Gerät zurückzusenden. Die Auswirkungen sollten sehr begrenzt sein, da der Router normalerweise nur eingehenden Datenverkehr akzeptiert, wenn ein Gerät die Kommunikation von innen gestartet hat und die Pakete zu dieser Kommunikation gehören.
In RFC 5382 besteht jedoch die Möglichkeit der Wiederverwendung von Ports: https://tools.ietf.org/html/rfc5382#section-4.3Wenn eine solche Funktion aktiviert ist, kann ein externer Dienst versuchen, eine Verbindung über SYN-Pakete herzustellen. Unterstützt Ihr Router diese Funktion?