Limitation du trafic sur un switch cisco 2960-S

Résolu
miss155159 Messages postés 81 Statut Membre -  
miss155159 Messages postés 81 Statut Membre -
bonjour à tous,

je souhaite configurer un switch cisco 2960-S pour limiter le trafic udp sur le port 53 de telle sorte que les gros paquets soit dropés.
j'ai consulté la documentation cisco j'ai trouvé que le switch 2960 peut faire du contrôle de flux mais dans ce cas ça concerne tout le trafic et pas uniquement les paquets DNS.
si qlq un a une idée où une piste que je pourrai explorer je suis preneuse.

merci d'avance .

2 réponses

  1.
    ciscowarrior Messages postés 810 Statut Membre 100
     
    je souhaite configurer un switch cisco 2960-S pour limiter le trafic udp sur le port 53 de telle sorte que les gros paquets soit dropés.


    matcher DNS avec une ACL ne pose pas de problème mais tu ne pourras pas matcher sur la taille du paquet(je viens de consulter la doc du 2960 et je ne vois pas cette fonctionnalité dans les ACLs supportées).

    Je suppose qu'il s'agit des réponses que tu veux matcher car les requêtes sont limitées à 512 bytes de payload, en ce qui concerne les réponses les anciennes implémentations si elles doivent envoyer plus que 512 bytes vont utiliser TCP et les nouvelles vont suivre cette rfc: https://www.ietf.org/rfc/rfc2671.txt
    0
    1. miss155159 Messages postés 81 Statut Membre 2
       
      merci ciscowarrior, ton idée me parait pas mal mais je me demandais si avec cette configuration je pouvais réduire l'impact du DDOS?!
      0
    2. brupala Messages postés 111176 Date d'inscription   Statut Membre Dernière intervention   14 456
       
      Salut,
      par contre, si tu ne peus pas effectivement filtrer la taille, tu dois pouvoir aux paquets dns fragmentés de rentrer, ce sera déjà pas mal, les attaques en amplification dns provoquant souvent des datagrammes bien plus gigantesques que 1500
      mot clé fragments dans l'ACL étendue ou nommée.
      0
    3. miss155159 Messages postés 81 Statut Membre 2
       
      salut brupala, donc tu veux dire que je vais empêcher les paquets DNS fragmentés de rentrer, mais je me pose une question, d'aprés la rfc 2671 les paquets dns peuvent avoir une taille supérieur à 512 octets, mais sauf erreur de ma part, il n 'est pas précisé la taille limite donc je me disais que dans ce cas là je risque d'empêcher des requêtes dns des utilisateurs!!!
      0
    4. ciscowarrior Messages postés 810 Statut Membre 100
       
      comme je t'ai expliqué avant, les requêtes sont limitées à 512 bytes, ce sont les réponses qui peuvent être supérieures à 512 bytes et avant la rfc 2671 celles-ci se faisaient en TCP.
      Si tu as un serveur DNS qui supporte la rfc 2671 alors il peut envoyer des réponses supérieures à 512 bytes en UDP.
      0
    5. brupala Messages postés 111176 Date d'inscription   Statut Membre Dernière intervention   14 456
       
      je disais simplement que les attaques par amplification dns peuvent générer des réponses dns comportant des datagrammes segmentés, à vérifier, je n'ai heureusement pas l'occasion d'en voir.
      c'est expliqué ici
      Donc les paquets dns segmentés ont toutes les chances de ne pas être légitimes
      à tester...
      0
  2. miss155159 Messages postés 81 Statut Membre 2
     
    salut à tous,
    j'ai encore besoin de votre aide j'ai configuré les interfaces mais je ne sais pas comment tester si ça marche, avec iperf ça n'a pas l'air de marcher (pour l'instant je n'ai pas spécifié de port, je limite tout le trafic udp )
    voici les résultats que ça me donne:

    C:\Users\Utilisateur\Desktop\iperf-2.0.5-2-win32> iperf -c 192.168.1.6 -i 2 -t 20
    -u -b 10000m
    ------------------------------------------------------------
    Client connecting to 192.168.1.6, UDP port 5001
    Sending 1470 byte datagrams
    UDP buffer size: 64.0 KByte (default)
    ------------------------------------------------------------
    [ 3] local 192.168.1.3 port 50012 connected with 192.168.1.6 port 5001
    [ ID] Interval Transfer Bandwidth
    [ 3] 0.0- 2.0 sec 137 MBytes 574 Mbits/sec
    [ 3] 2.0- 4.0 sec 181 MBytes 758 Mbits/sec
    [ 3] 4.0- 6.0 sec 189 MBytes 791 Mbits/sec
    [ 3] 6.0- 8.0 sec 189 MBytes 793 Mbits/sec
    [ 3] 8.0-10.0 sec 189 MBytes 794 Mbits/sec
    [ 3] 10.0-12.0 sec 188 MBytes 789 Mbits/sec
    [ 3] 12.0-14.0 sec 188 MBytes 790 Mbits/sec
    [ 3] 14.0-16.0 sec 189 MBytes 794 Mbits/sec
    [ 3] 16.0-18.0 sec 189 MBytes 793 Mbits/sec
    [ 3] 18.0-20.0 sec 189 MBytes 794 Mbits/sec
    [ 3] 0.0-20.0 sec 1.79 GBytes 767 Mbits/sec
    [ 3] Sent 1304492 datagrams
    [ 3] WARNING: did not receive ack of last datagram after 10 tries.

    sachant que j'utilise deux pc reliés au switch
    serveur> iperf -s -i 2
    0
    1. ciscowarrior Messages postés 810 Statut Membre 100
       
      montre nous ta conf
      0
    2. miss155159 Messages postés 81 Statut Membre 2
       
      voilà ce que j'ai configuré sur les interfaces:

      class-map match-all test2
      match access-group 102
      !
      policy-map ptest2
      class test2
      police 20000 20000 exceed-action drop
      !
      !
      interface GigabitEthernet1/0/1
      service-policy input ptest2
      !
      !
      interface GigabitEthernet1/0/2
      service-policy input ptest2
      !
      !access-list 102 permit udp any any


      ça ne change rien c'est comme si je n'avais rien fait!!
      0
    3. brupala Messages postés 111176 Date d'inscription   Statut Membre Dernière intervention   14 456
       
      c'est une faute de frappe ou ton access-list 102 est vraiment en commentaire ?
      tu as fait mls qos ?
      0
    4. ciscowarrior Messages postés 810 Statut Membre 100
       
      essaye ceci:

      class-map match-all UDP_TRAFFIC
      match access-group 102
      no policy-map ptest2
      policy-map MARK_UDP
      class UDP_TRAFFIC
      set dscp AF41
      class-map match-all POLICED_TRAFFIC
      match dscp AF41

      policy-map POLICE_UDP
      class POLICED_TRAFFIC
      police 20000 20000 exceed-action drop

      interface GigabitEthernet1/0/1
      service-policy input MARK_UDP
      interface GigabitEthernet1/0/2
      service-policy output POLICE_UDP
      0
    5. brupala Messages postés 111176 Date d'inscription   Statut Membre Dernière intervention   14 456
       
      Salut,
      j'ai crû comprendre qu'une police ne s'appliquait qu'au traffic entrant, non ?
      0

Discussions similaires

Modules Cisco, c'est quoi?
Mots croisés -
echec47 -

7 réponses
Dois-je supprimer ces programmes?
Utilisateur anonyme -
Utilisateur anonyme -

4 réponses
switch federateur?
monalisa25 -
shagymarshal -

4 réponses
Switch fédérateurs
Ta le bonsoir de salif -
phery -

3 réponses
Impossible d'être entendu avec casque-micro Nintendo switch
kardeyo -
crooner76 -

3 réponses