MAC と ebtables を使用して IP スプーフィングを防ぐ方法は?

Question

ようやく実用的な解決策を作り上げることができた。

ソリューションでは、ebtables と IP-MAC ペアを使用します。
必要なテーブルはデフォルトの「フィルター」テーブルのみです。
INPUT チェーンは仮想マシンの実行とは関係がないため、INPUT チェーンにルールやポリシーを追加する必要はありません。フィルターテーブル内の INPUT、OUTPUT、FORWARD チェーンの意味については、ebtables のマニュアルページを参照してください。
ebtables はイーサネットレベルで動作し、IP-MAC ペアリングは IP パケットにのみ適用可能であるため、ARP フレームやその他の重要なトラフィックをブロックしないように、ルールでそのことを強調する必要があります。

したがって、最初はルールはまったくなく、すべてのポリシーは ACCEPT に設定されています。ユーザー定義のチェーンはありません。フィルターテーブルは次のようになります。

Bridge table: filter
Bridge chain: INPUT, entries: 0, policy: ACCEPT
Bridge chain: FORWARD, entries: 0, policy: ACCEPT
Bridge chain: OUTPUT, entries: 0, policy: ACCEPT

新しいチェーンが追加されました。このチェーンには、許可されたすべての IP-MAC ペアが含まれます。これは VMS と呼ばれます。

# ebtables -N VMS

さて、重要な部分です。ポート vnet[0-9]+ からブリッジを通過する IP パケット (またはその一部) を含むすべてのフレームに対して、チェーンポリシーとチェーン VMS のルールを適用します。つまり、任意の仮想マシンから送信されるすべての IP パケットに対して、VMS チェーンを適用します。

# ebtables -A FORWARD -p ip -i vnet+ -j VMS

チェーン VMS のデフォルトポリシーは DROP である必要があります。この方法では、すべての仮想マシンから送信されるすべての IP パケットがデフォルトでドロップされます。後で、許可された IP-MAC ペアの例外が追加されます。デフォルトポリシー DROP により、不明な IP-MAC ペアを持つすべての仮想マシンからのすべてのトラフィックが一度にドロップされ、IP スプーフィングが不可能になります。

# ebtables -P VMS DROP

テーブルフィルターは次のようになります。また、実行中の仮想マシンがない場合 (許可されている場合) もこのようになります。

Bridge table: filter
Bridge chain: INPUT, entries: 0, policy: ACCEPT
Bridge chain: FORWARD, entries: 1, policy: ACCEPT
-p IPv4 -i vnet+ -j VMS
Bridge chain: OUTPUT, entries: 0, policy: ACCEPT
Bridge chain: VMS, entries: 0, policy: DROP

実行中のマシンが 2 台あるとします。それらのマシン間で ping を実行しようとすると、トラフィックがドロップされ、宛先に到達できなくなります。これは望ましい結果ですが、この時点ではトラフィックはまだ許可されていません。1 つのコマンドだけで、各仮想マシンのトラフィックを許可できます。

# ebtables -A VMS -p ip --ip-src 192.168.11.125 -s 54:52:00:cc:35:fa -j ACCEPT
# ebtables -A VMS -p ip --ip-src 192.168.11.122 -s 54:52:00:98:d7:b6 -j ACCEPT

これで、許可された仮想マシンからのトラフィックは正常に流れ、IP スプーフィングが防止されます。

この解決策は完璧ではないかもしれませんので、ご意見や改善点がありましたら、喜んでお聞かせください。

Answer 1