Aplicando anti-spoof via ACL na borda Huawei - Histórico de revisão

Erickandrade em 15h55min de 30 de outubro de 2025

2025-10-30T15:55:37Z

Erickandrade em 15h55min de 30 de outubro de 2025

2025-10-30T15:55:10Z

Erickandrade em 15h12min de 17 de setembro de 2025

2025-09-17T15:12:50Z

Erickandrade em 14h49min de 17 de setembro de 2025

2025-09-17T14:49:24Z

Erickandrade em 14h45min de 17 de setembro de 2025

2025-09-17T14:45:43Z

Erickandrade em 14h44min de 17 de setembro de 2025

2025-09-17T14:44:15Z

Erickandrade em 01h04min de 17 de setembro de 2025

2025-09-17T01:04:26Z

Erickandrade em 23h38min de 15 de setembro de 2025

2025-09-15T23:38:18Z

Erickandrade: Créditos finais.

2025-09-15T21:04:41Z

Créditos finais.

Erickandrade: Criou página com '== Introdução == Um dos maiores problemas entre ASs (Sistemas Autônomos) é o '''spoof''' dos endereços IPv4 e IPv6. O spoof nada mais é que uma '''falsificação dos end...'

2025-09-15T21:01:31Z

Criou página com '== Introdução == Um dos maiores problemas entre ASs (Sistemas Autônomos) é o '''spoof''' dos endereços IPv4 e IPv6. O spoof nada mais é que uma '''falsificação dos end...'

Página nova

== Introdução ==
Um dos maiores problemas entre ASs (Sistemas Autônomos) é o '''spoof''' dos endereços IPv4 e IPv6. O spoof nada mais é que uma '''falsificação dos endereços IP''' e isso faz com que um tráfego não legítimo entre ou saia da sua rede, amplificando problemas como ataques '''DDoS'''/'''DoS'''.

Basicamente existem duas maneiras de implementar o bloqueio de spoof, a primeira é via configuração do '''uRPF''' direto na interface física ou vlan e a segunda seria por meio de '''ACLs''' e '''classificadores de tráfego'''.

O '''uRPF''' ('''Reverse Path Forwarding''') pode ser separado em duas 'classes' que são '''loose''' e '''strict'''. No modo loose que é extremamente flexível você tem uma proteção muito simples que nem sempre terá efetividade. Já no modo strict garante uma filtragem agressiva melhorando significativamente a segurança do ambiente.

A grande questão é que se você possuir mais de um link ('''multihomed'''), o uRPF strict será prejudicial porque ele exige que o caminho de chegada seja o mesmo de saída do tráfego. Já se a sua conexão for '''singlehomed''' (apenas uma operadora/link) o strict atenderá perfeitamente.

E para referência, recomendo que leia também o artigo feito pelo André Dias sobre o uRPF: [[Unicast Reverse Path Forwarding#Modo Strict .28Rigoroso.29 - Cuidado com ele.21]]

Aqui estarei focando nos ambientes multihomed, que fará a combinação do uRPF loose com ACLs em classificadores de tráfego. Apesar do exemplo ser para um roteador Huawei da série NE, a lógica é a mesma para outros equipamentos como Cisco.

É importante lembrar que a adoção do anti-spoof BCP38 NÃO/NUNCA/JAMAIS irá bloquear ataques DDoS/DoS. Mas ajuda você e toda a comunidade da internet a mitigar e diminuir os impactos desse problema.

A mitigação do ataque DDoS/DoS envolve várias outras técnicas que visam diminuir os impactos sentidos, mas é impossível bloquear exceto se você desligar o equipamento ou fizer blackhole.

== Entendendo a lógica do BCP38 ==
O BCP38 descreve que os ataques de spoof podem se utilizar de endereços privados que não estão na tabela de roteamento global e dos endereços públicos que estão na tabela de roteamento global, nesse caso faz referência direta ao protocolo BGP.

Dito isto a lógica é simples, você NÃO pode receber tráfego tendo como origem os seus próprios Endereços IPs e a saída deve conter apenas os seus próprios Endereços IPs. Qualquer outro Endereço IP que fuja dessa regra deve ser bloqueado.

== MANRS ==
Um dos pré-requisitos que você pode adotar ao querer ser aprovado no MANRS seria o anti-spoof, utilizei a documentação do MANRS como inspiração para a construção dessa configuração.

== Configuração ==
Dicas: ''Se você for fazer a configuração remotamente ou até mesmo presencialmente, aplique com o commit trial. Se algo não sair como esperado (como perder totalmente o acesso), após o tempo definido no trial as configurações serão revertidas.''

''Outras configurações anti-spoof devem ser feitas o mais próximo do equipamento do seu cliente, por exemplo, se ele usa um Mikrotik você faz a configuração em IP > Settings o RP-Filter como Strict.''

1 – Crie as ACLs que serão usadas nas regras de Entrada e Saída dos classificadores.
acl number 2001
description ACL para bloqueio de spoof
rule 10 permit source 203.0.113.0 0.0.0.255
rule 100 deny

acl ipv6 number 2001
description ACL para bloqueio de spoof
rule 10 permit source 2001:DB8::/32
rule 100 deny

acl number 2002
description ACL para bloqueio de spoof
rule 10 permit source 203.0.113.0 0.0.0.255
rule 100 deny

acl ipv6 number 2002
description ACL para bloqueio de spoof
rule 10 permit source 2001:DB8::/32
rule 100 deny
2 – Crie o classificador de tráfego que será usado no bloqueio da política de tráfego.
traffic classifier Trafego_Restante_Spoof operator or
if-match any
3 – Crie o classificador que vai dar match com as ACLs.
traffic classifier Saida_Spoof_Filtrado operator or
if-match acl 2002
if-match ipv6 acl 2002
4 – Crie o classificador que vai dar match com as ACLs.
traffic classifier Origem-Spoof_Filtrado operator or
if-match acl 2001
if-match ipv6 acl 2001
5 – Crie o classificador com comportamento padrão de permitir.
traffic behavior Permitir_Trafego_Filtrado
6 – Crie o classificador com o comportamento padrão de bloquear.
traffic behavior Bloquear_Spoof_Geral
deny
7 – Crie a política de tráfego para a saída, permitindo o que foi definido na ACL e bloqueando todo o resto.
traffic policy Prevenir_Saida_Spoofada
share-mode
classifier Saida_Spoof_Filtrado behavior Permitir_Trafego_Filtrado precedence 1
classifier Trafego_Restante_Spoof behavior Bloquear_Spoof_Geral precedence 10
8 – Crie a política de tráfego para a entrada, permitindo o que foi definido na ACL e bloqueando todo o resto.
traffic policy Prevenir_Origem_Spoofada
share-mode
classifier Origem-Spoof_Filtrado behavior Permitir_Trafego_Filtrado precedence 1
classifier Trafego_Restante_Spoof behavior Bloquear_Spoof_Geral precedence 10
9 – Configure a interface física ou VLAN do seu Upstream ou IX com uRPF loose e as políticas de tráfego.
interface GigabitEthernet0/3/2.100
vlan-type dot1q 100
description VLAN_PEER_Operadora
ipv6 enable
ip address 203.0.113.2 255.255.255.252
ipv6 address 2001:DB8::100/126
statistic enable
traffic-policy Prevenir_Origem_Spoofada inbound
traffic-policy Prevenir_Saida_Spoofada outbound
ip urpf loose

=== Referências: ===
MANRS Huawei: https://manrs.org/participant/85

BCP Nic.br: https://bcp.nic.br/antispoofing

<nowiki>RFC 2827</nowiki>: https://datatracker.ietf.org/doc/rfc2827

BCP 38: http://www.bcp38.info/index.php/Main_Page

@@ Linha 1: / Linha 1: @@
 == Introdução ==
 Um dos maiores problemas entre ASs (Sistemas Autônomos) é o '''spoof''' dos endereços IPv4 e IPv6. O spoof nada mais é que uma '''falsificação dos endereços IP''' e isso faz com que um tráfego não legítimo entre ou saia da sua rede, amplificando problemas como ataques '''DDoS'''/'''DoS'''.
@@ Linha 101: / Linha 99: @@
 BCP 38: http://www.bcp38.info/index.php/Main_Page
 [[Categoria:BCOPs]]
 __INDEXAR__

@@ Linha 1: / Linha 1: @@
 == Introdução ==
 Um dos maiores problemas entre ASs (Sistemas Autônomos) é o '''spoof''' dos endereços IPv4 e IPv6. O spoof nada mais é que uma '''falsificação dos endereços IP''' e isso faz com que um tráfego não legítimo entre ou saia da sua rede, amplificando problemas como ataques '''DDoS'''/'''DoS'''.
@@ Linha 99: / Linha 101: @@
 BCP 38: http://www.bcp38.info/index.php/Main_Page
 [[Categoria:BCOPs]]
 __INDEXAR__

@@ Linha 29: / Linha 29: @@
 ==== Informações úteis: ====
-# Você '''<u>''não precisa/deve seguir a risca tudo como demonstrei''</u>''', realize as adaptações para o seu cenário, teste em laboratório e só depois de validado passe para a implantação no ambiente de produção. A minha rede é diferente da sua e isso exige uma atenção diferente na hora de implementas novas configurações.
+# Você '''<u>''não precisa/deve seguir a risca tudo como demonstrei''</u>''', realize as adaptações para o seu cenário, teste em laboratório e só depois de validado passe para a implantação no ambiente de produção. A minha rede é diferente da sua e isso exige uma atenção diferente na hora de implementar novas configurações.
 # Se você for fazer a configuração remotamente ou até mesmo presencialmente, aplique com o '''commit trial'''. Se algo não sair como esperado (como perder totalmente o acesso), após o tempo definido no trial as configurações serão revertidas.
 # Os IPs utilizados no tutorial são de faixas exclusivas para fins de documentação, '''<u>''lembre-se de alterar para as que você utiliza em sua rede''</u>'''.

← Edição anterior		Edição das 23h38min de 15 de setembro de 2025
Linha 98:		Linha 98:
	=== Autor: ===		=== Autor: ===
	'''Erick Andrade'''		'''Erick Andrade'''
		+	[[Categoria:BCOPs]]
		+	__INDEXAR__

← Edição anterior		Edição das 21h04min de 15 de setembro de 2025
Linha 95:		Linha 95:

	BCP 38: http://www.bcp38.info/index.php/Main_Page		BCP 38: http://www.bcp38.info/index.php/Main_Page
		+
		+	=== Autor: ===
		+	'''Erick Andrade'''

@@ Linha 78: / Linha 78: @@
   traffic policy Prevenir_Origem_Spoofada
    share-mode
-   classifier Origem-Spoof_Filtrado behavior Bloquear_Spoof_Geral precedence precedence 1
+   classifier Origem-Spoof_Filtrado behavior Bloquear_Spoof_Geral precedence 1
 – Configure a interface física ou VLAN do seu Upstream ou IX com uRPF loose e as políticas de tráfego.
   interface GigabitEthernet0/3/2.100

@@ Linha 40: / Linha 40: @@
    description ACL para bloqueio de spoof na entrada
    rule 10 permit source 203.0.113.0 0.0.0.255
   acl ipv6 number 2001
    description ACL para bloqueio de spoof na entrada
    rule 10 permit source 2001:DB8::/32
   acl number 2002

@@ Linha 12: / Linha 12: @@
 Aqui estarei focando nos ambientes multihomed, que fará a combinação do uRPF loose com ACLs em classificadores de tráfego. Apesar do exemplo ser para um roteador Huawei da série NE, a lógica é a mesma para outros equipamentos como Cisco.
-É importante lembrar que a adoção do anti-spoof BCP38 NÃO/NUNCA/JAMAIS irá bloquear ataques DDoS/DoS. Mas ajuda você e toda a comunidade da internet a mitigar e diminuir os impactos desse problema.
+É importante lembrar que a adoção do '''anti-spoof''' '''BCP38''' NÃO/NUNCA/JAMAIS irá bloquear ataques '''DDoS'''/'''DoS'''. Mas ajuda você e toda a comunidade da internet a mitigar e diminuir os impactos desse problema.
-A mitigação do ataque DDoS/DoS envolve várias outras técnicas que visam diminuir os impactos sentidos, mas é impossível bloquear exceto se você desligar o equipamento ou fizer blackhole.
+A mitigação do ataque '''DDoS'''/'''DoS''' envolve várias outras técnicas que visam diminuir os impactos sentidos, mas é impossível bloquear exceto se você desligar o equipamento ou fizer blackhole.
 == Entendendo a lógica do BCP38 ==
 O BCP38 descreve que os ataques de spoof podem se utilizar de endereços privados que não estão na tabela de roteamento global e dos endereços públicos que estão na tabela de roteamento global, nesse caso faz referência direta ao protocolo BGP.
-Dito isto a lógica é simples, você NÃO pode receber tráfego tendo como origem os seus próprios Endereços IPs e a saída deve conter apenas os seus próprios Endereços IPs. Qualquer outro Endereço IP que fuja dessa regra deve ser bloqueado.
+Dito isto a lógica é simples, você '''NÃO''' pode receber tráfego tendo como origem os seus '''próprios Endereços IPs e IPs bogons''', e a saída deve conter apenas os seus próprios Endereços IPs. Qualquer outro Endereço IP que fuja dessa regra deve ser bloqueado.
 == MANRS ==
@@ Linha 25: / Linha 27: @@
 == Configuração ==
-''Outras configurações anti-spoof devem ser feitas o mais próximo do equipamento do seu cliente, por exemplo, se ele usa um Mikrotik você faz a configuração em IP > Settings o RP-Filter como Strict.''
+==== Dicas: ====
 – Crie as ACLs que serão usadas nas regras de Entrada e Saída dos classificadores.