Jak powódź SYN może wpłynąć na router w tym scenariuszu?
Używam dwóch routerów w mojej sieci domowej, jak opisano w tym pytaniu (router B na schemacie). Dlatego router B nie jest dostępny z Internetu.
Przeglądając dzienniki tego routera, byłem zaskoczony, gdy stwierdziłem, co jest rejestrowane jako „SYN flood”. Mam kilka wpisów, takich jak:
18 listopada 21:27:50 [ATAK]: SYN Powódź z 173.194.222.188
18 listopada 12:58:16 [ATAK]: SYN Powódź z 209.85.233.188
Jest 3-4 takich wpisów dziennie . Nie zauważyłem żadnych zakłóceń w użytkowaniu. Adresy IP mają pochodzić od firm takich jak Google czy Microsoft, ale coś mi mówi, że są sfałszowane.
pytania
- W jaki sposób router, do którego nie ma dostępu z internetu, może być przedmiotem takiego ataku? Zauważ, że mam pełną kontrolę nad wszystkimi podłączonymi do niego urządzeniami i wszystkie są godne zaufania / aktualne.
- Czy atak SYN flood na router domowy ma i tak jakieś znaczenie? Miałem wrażenie, że ataki SYN flood są związane z serwerami.
Przyjrzałem się również temu pytaniu i powinienem zauważyć, że nie mam aktywnego przekazywania portów.
Odpowiedzi
Jeśli łączysz się z decyzyjnego routera B w sieci LAN z usługą zewnętrzną, każdy router B i A wykonuje translację adresów sieciowych (NAT), aby urządzenie mogło otrzymać odpowiedź.
Zasadniczo jest otwarty tymczasowy port, aby otrzymywać odpowiedzi i wysyłać je z powrotem do urządzenia. Wpływ powinien być bardzo ograniczony, ponieważ zwykle router przyjmuje tylko ruch przychodzący, jeśli urządzenie rozpoczęło komunikację od wewnątrz i pakiety należą do tej komunikacji.
Ale w RFC 5382 jest możliwość ponownego wykorzystania portu: https://tools.ietf.org/html/rfc5382#section-4.3Jeśli taka funkcja jest włączona, usługa zewnętrzna może próbować nawiązać połączenie za pośrednictwem pakietów SYN. Czy Twoje routery obsługują tę funkcję?