Informationen zu IP-Spoofing-Prüfungen
IBM Cloud® Virtual Private Cloud umfasst eine IP-Spoofing-Prüfung auf jeder Netzwerkschnittstelle einer virtuellen Service-Instanz oder eines Bare-Metal-Servers, um sicherzustellen, dass der gesamte ausgehende Datenverkehr eine geeignete Quell-IP-Adresse verwendet.
Die IP-Spoofing-Prüfung wird auf ausgehende Netzwerkpakete von einer virtuellen Serverinstanz oder einem Bare-Metal-Server angewendet. Die Überprüfung stellt sicher, dass die Quell-IP in diesen Paketen mit der IP übereinstimmt, die der spezifischen Netzwerkschnittstelle zugewiesen ist, die mit dem virtuellen Server oder Bare-Metal-Server verbunden ist. Wenn die Quell-IP nicht mit der zugewiesenen Adresse übereinstimmt, wird das Paket verworfen. Wenn IP-Spoofing-Prüfungen deaktiviert sind, dürfen Pakete mit anderen gültigen Quell-IP-Adressen die Netzwerkschnittstelle passieren, anstatt verworfen zu werden.
Wenn Sie eine virtuelle Serverinstanz oder einen Bare-Metal-Server als nächsten Hop in einer benutzerdefinierten Route verwenden, wird empfohlen, die entsprechenden Netzwerkschnittstellen so zu konfigurieren, dass IP-Spoofing zulässig ist.
Öffentlicher Datenverkehr Die Aktivierung von IP-Spoofing hat keine Auswirkungen auf Pakete, die ins Internet gesendet werden. IP-Spoofing wird für diesen Datenverkehr nicht unterstützt.
- Wenn eine Floating IP (FIP) mit der Netzwerkschnittstelle verbunden ist, erscheint diese FIP als Quelle im Internetverkehr.
- Wenn ein öffentlicher Adressbereich verwendet wird, muss die Quell-IP innerhalb dieses Bereichs liegen.
- Wenn ein öffentliches Gateway angeschlossen ist, ist die Quell-IP-Adresse für ausgehenden Internetverkehr die IP-Adresse des öffentlichen Gateways.
MAC-Adress-Spoofing MAC-Adress-Spoofing (Media Access Control) wird nicht unterstützt. Jeder Datenverkehr, der eine Netzwerkschnittstelle mit einer gefälschten MAC-Adresse verlässt, wird verworfen, und dieses Verhalten kann nicht deaktiviert werden.
Das folgende Diagramm veranschaulicht die Position einer IP-Spoofing-Prüfung im Datenverkehr zu und von einer virtuellen Serverinstanz (oder einem Bare-Metal-Server):
Nur Betreiber, denen in „ Identity and Access Management “ (IAM) die Berechtigung „IP Spoofing Operator“ erteilt wurde, sind berechtigt, IP-Spoofing-Prüfungen auf Schnittstellen innerhalb einer VPC zu aktivieren oder zu deaktivieren. Standardmäßig werden IP-Spoofing-Prüfungen sowohl für eingehenden als auch für ausgehenden Datenverkehr durchgeführt.
Erläuterungen zu den Risiken
Beim Aktivieren von IP-Spoofing in Ihrer Netzwerkschnittstelle sind die damit einhergehenden potenziellen Sicherheitsrisiken zu berücksichtigen. Jeder mit der Rolle „IP-Spoofing-Operator“ hat nicht nur die Berechtigung, virtuelle Netzwerkgeräte zu aktivieren, sondern kann auch eine Instanz so konfigurieren, dass sie Datenverkehr im Namen einer anderen Instanz sendet. Diese Konfiguration erhöht die Wahrscheinlichkeit von Situationen, in denen die Plattform aufgrund der Handlungen eines ungeschulten oder böswilligen Benutzers angegriffen werden könnte.
Seien Sie vorsichtig, wenn Sie Benutzern die Rolle „IP-Spoofing-Operator“ zuweisen.
Alertausgabe für IP-Spoofing-Ereignisse
Wenn IP-Spoofing auf einer Netzwerkschnittstelle geändert wird, wird ein Aktivitätsprotokoll erstellt.
Von VPC-Ressourcen generierte Überwachungsereignisse werden automatisch an die Instanz des Dienstes „ IBM Cloud Activity Tracker Event Routing “ weitergeleitet, die am selben Standort verfügbar ist. Der Dienst kann die Ereignisse an einen von Ihnen definierten Zielspeicherort weiterleiten. Das Ziel kann ein „ IBM Cloud Object Storage “-Ziel, ein „ IBM Cloud Logs “-Ziel oder ein „ IBM® Event Streams for IBM Cloud® “-Ziel sein. Weitere Informationen enthält der Abschnitt Einführung in IBM Cloud Activity Tracker Event Routing.
Sie können IBM Cloud Logs verwenden, um Ereignisse [zu visualisieren] und zu [melden], die in Ihrem Konto generiert und von IBM Cloud Activity Tracker Event Routing an eine IBM Cloud Logs Instanz weitergeleitet werden. Informationen zum Zugriff auf die Benutzeroberfläche IBM Cloud Logs finden Sie unter Navigieren zur Benutzeroberfläche in der Dokumentation IBM Cloud Logs.
IP-Spoofing-Prüfungen aktivieren
Nach dem Erstellen einer Virtual Server-Instanz kann ein Netzadministrator mit der im Identitäts- und Zugriffsmanagement (IAM) definierten Rolle IP-Spoofing-Operator die Netzschnittstelle aktualisieren, um die IP-Spoofing-Prüfung zu aktivieren oder zu inaktivieren.
Der IAM IP Spoofing Operator ist standardmäßig für alle Benutzer deaktiviert. Weitere Informationen zu IAM-Berechtigungen finden Sie unter Verwalten des IAM-Zugriffs für VPC-Infrastrukturdienste.
Aktivieren der IP-Spoofing-Prüfung über die Benutzeroberfläche
Um IP-Spoofing in der Konsole „ IBM Cloud “ zu aktivieren, führen Sie die folgenden Schritte aus:
- Gehen Sie zu Verwalten > Zugriff > Identitäten verwalten > Benutzer.
- Klicken Sie auf „Benutzer“ und wählen Sie den Benutzer aus, dem Sie die IP-Spoofing-Rolle zuweisen möchten.
- Klicken Sie auf der Registerkarte „ Zugriffsrichtlinien “ auf „ Zugriff zuweisen “.
- Klicken Sie auf die Kachel „ Zugriffsrichtlinie “.
- Klicken Sie im Abschnitt „Service“ auf „ VPC Infrastructure Services “.
- Wählen Sie „ Alle auswählen“ im Abschnitt „ Ressourcen “.
- Aktivieren Sie „IP-Spoofing-Operator“ im Abschnitt „ Rollen und Aktionen “.
- Klicken Sie auf Hinzufügen.
Aktivieren von IP-Spoofing-Prüfungen über die CLI
Führen Sie den folgenden Befehl aus, um IP-Spoofing über die Befehlszeilenschnittstelle zu aktivieren:
ibmcloud iam user-policy-create YOUR_USER_EMAIL_ADDRESS --roles "IP Spoofing Operator" --service-name is