web-dev-qa-db-fra.com

Comment éviter la détection d'intrusion / problème anti-spoofing sur une série SonicWall TZ Series FW

Nous avons une série SonicWall TZ Series FW avec deux fournisseurs de services Internet connectés.

L'un des fournisseurs a un service sans fil qui fonctionne un peu comme un commutateur Ethernet dans lequel nous avons une adresse IP avec un sous-réseau A/24 et la passerelle est .1. Tous les autres clients du même sous-réseau (par exemple 195.222.99.0) ont la même passerelle .1 Gateway - Ceci est important, lu sur.

Certains de nos clients sont également sur le même sous-réseau.

Notre configuration:

  • X0: LAN
  • X1: 89.90.91.92
  • X2: 195.222.99.252/24 (GW 195.222.99.1)

X1 et x2 sont non connecté, autres que ceux qui sont connectés à l'Internet public.

Config client:

  • X1: 195.222.99.123/24 (GW 195.222.99.1)

Qu'est-ce qui échoue, qu'est-ce qui fonctionne:

  • Trafic 195.222.99.123 (client) <-> 89.90.91.92 (x1): Alerte de spoof
  • Trafic 195.222.99.123 (client) <-> 195.222.99.252 (x1): OK - Aucune alerte spoof

J'ai plusieurs clients avec IPS dans la gamme 195.222.99.0 et toutes provoquent des alertes identiques.

C'est l'alerte que je vois sur le FW:

Alert   Intrusion Prevention    IP spoof dropped 195.222.99.252, 21475, X1  89.90.91.92, 80, X1 MAC address: 00:12:ef:41:75:88

L'anti-spoofing est éteint sur mon FW (réseau-> Mac-IP-anti-spoofing -> config pour chaque interface) pour tous les ports

Je peux provoquer les alertes de Telneting à un port sur X1 des clients.

Vous ne pouvez pas discuter avec la logique - ceci est Trafic suspect. X1 reçoit du trafic avec une IP source qui correspond au sous-réseau X2S.

Quelqu'un sache comment puis-je dire au FW que les paquets avec un sous-réseau SRC de 195.222.99.0 peuvent légitimement apparaître sur x1?

Je sais ce qui ne va pas mal, j'ai vu la même chose auparavant, mais avec des FW d'extrémité supérieure, vous pouvez éviter cela avec quelques règles supplémentaires. Je ne peux pas voir comment faire cela ici. Et avant de vous demander pourquoi nous utilisons ce fournisseur de services - ils nous donnent 3 ms (Yep 3ms, ce n'est pas une erreur) Retard entre les routeurs.

sonicwall
4
Ian Murphy

Après vous connecter à SonicWall, allez à l'interface de diagnostic en ajoutant "diag.html" à l'URL (si vous accédez à votre routeur à https://192.168.5.1, aller à https://192.168.5.1/diag.html)

Vous obtiendrez un avertissement que vous pouvez briser des objets, continuer en cliquant sur "Paramètres internes" dans le menu Léfthand. Environ un tiers de la route, vous verrez une case à cocher pour désactiver la détection de spoof IP.

screenshot

Décochez la case et voyez si cela fait une différence.

4
Jim G.