ip spoofing

[ann2023]

Здравствуйте
 

Есть бордер+брас на одном сервере:
 - на каждый дом выделен влан
 - в качестве dhcp сервера используется патченный isc dhcp
 - настроен ip unnumbered
 - на абонентских вланах proxy_arp = 1; proxy_arp_pvlan = 1; rp_filter = 1
 - на аплинках rp_filter = 2
 - на домовых свитчах настроен traffic segmentation и option 82
 
Каждые 1-2 недели ловлю ip spoofing - сотни тысяч пакетов с одних абонентских айпишников летят на другие абонентские айпишники.
Причём это происходит всегда на разных вланах. За раз спуфинг может быть на 1-10 вланах.
Помогает down-up влана.
 

Есть какой-нибудь способ защититься от спуфинга?
 

[stalker86]

А это точно спуфинг?
Смотрели с каких маков летят пакеты и там левые/поддельные маки ?
Или мак и  IP там верные?
 

[ann2023]

Маки левые

И иногда попадаются айпишники, которые не используются (из рабочей подсети, но ещё не выданные абонентам)

[jffulcrum]

А что за железо на доступе? Как-то сегментировано, из любого сегмента летит, или всегда из одних и тех же?

[ann2023]

Из любого сегмента и всегда это разные сегменты

На доступе dgs-1210

На агрегации dgs-3000

 

[ne-vlezay80]

Надо делать фильтрацию конкретных адресов на доступе (привязывать эти адреса к портам). А этот rp_filter лучше отключить...

[roma33rus]

ipmb на dlinkах используете?