Флудинг

Что такое Floodng?

Определение флудинга заключается в том, что сетевое устройство отправляет данные, полученные через определённый порт, через все порты устройства, кроме текущего порта. Коммутатор сравнивает MAC-адрес назначения в кадре данных с имеющейся таблицей MAC-адресов и определяет, на какой порт переслать данные. Если адрес назначения отсутствует в таблице MAC-адресов, данные пересылаются через все порты. В протоколе OSFP флудинг используется для передачи LSA (для обновления топологии). Например, в технологии VXLAN режим флудинга также используется для изучения адресов, чтобы определить соответствие между VTEP и MAC. Во многих случаях флудинг является безвредным и не влияет на сеть. Флудинг также представляет собой очень распространённое сетевое явление в центрах обработки данных.

Преимущества затопления

Конфигурация флудинга не требует изучения протоколов маршрутизации, а ее реализация очень проста. Поскольку сообщение отправляется на все порты, даже если некоторые узлы в сети недоступны, пакет данных все равно может достичь адреса назначения по другим путям.

Недостатки широковещательной рассылки

Широковещательные сообщения занимают слишком много пропускной способности сети. Хотя адрес назначения может быть только один, широковещательное сообщение получит каждый узел. Если для пакетов данных не задано значение TTL или количество переходов, эти пакеты могут бесконечно пересылаться по циклу, что приводит к чрезмерной нагрузке на сеть. В результате скорость обработки службами устройства значительно снижается или они даже прерываются.

Многие методы сетевых атак также используют флудинг для достижения своих целей. Например, распространённая атака UDP-флуда. Haкеры отправляют серверу большое количество UDP-пакетов, а сервер после их получения отправляет большое количество ответов. Атака с флудингом ARP-сообщений аналогична предыдущей: злоумышленники также отправляют большое количество ARP-сообщений, в результате чего таблица ARP устройства уровня 3 переполняется, что влияет на пересылку данных обычных пользователей. Но, как и нож, флудинг является полезным инструментом при правильном использовании, а неправильное применение может привести к серьёзным последствиям.

Как справиться с широковещательным штормом?

Если необходимо решить проблему дублирования информации и чрезмерного использования пропускной способности, для ее ограничения можно использовать настройки TTL и количества переходов. Также можно применять выборочную рассылку, чтобы передавать данные только некоторым устройствам и уменьшить воздействие. Если для пересылки и соединения между устройствами используется полноценная трехуровневая сеть, между устройствами не образуется широковещательный домен, что позволяет значительно снизить воздействие рассылки.

Для защиты от атак типа flood лучшим методом по-прежнему является установка выделенного межсетевого экрана. Здесь я не буду подробно это описывать.

Одинаковы ли флудинг и широковещательная рассылка?

Между ними есть сходства, но существуют и очевидные различия. Когда широковещательный адрес (255.255.255.255) является адресом назначения, пакет данных отправляется всем остальным устройствам в локальной сети. Это активная отправка, относящаяся к уровню 3. Флудинг происходит, когда MAC-адрес назначения отсутствует в таблице адресов: пакет данных отправляется через все порты, кроме порта, с которого поступают данные. Флудинг является пассивным поведением и относится к уровню 2.