Auf der Registerkarte Anti-DoS/Flooding können Sie die Konfiguration für den Schutz vor Denial-of-Service-Angriffen (DoS) und Distributed-Denial-of-Service-Angriffen (DDoS) vornehmen.
Allgemein gesagt, zielen DoS- und DDoS-Angriffe darauf ab, ein Computersystem für legitime Zugriffe unerreichbar zu machen. Im einfachsten Fall überflutet der Angreifer den Server mit sinnlosen Paketen, um diesen zu überlasten. Da für diese Angriffe eine große Bandbreite erforderlich ist, verlegen sich immer mehr Angreifer auf sogenannte SYN-Flood-Attacken, die nicht darauf abzielen, die Bandbreite auszulasten, sondern die Systemressourcen des Servers zu blockieren. Zu diesem Zweck werden sogenannte SYN-Pakete mit einer oftmals gefälschten Quelladresse an den TCP
-Port des Dienstes geschickt. Auf diese Weise wird der Server veranlasst, die Verbindung zur Hälfte zu öffnen, indem er TCP/SYN-ACK-Pakete an die gefälschte Adresse zurücksendet und auf ein Antwort-TCP/ACK-Paket des Absenders wartet. Da die Absenderadresse gefälscht ist, wird dieses aber niemals kommen. Diese halboffenen Verbindungen sättigen die Anzahl der verfügbaren Verbindungen, die der Server eingehen kann, und hindern ihn daran, auf legitime Anfragen zu reagieren.
Solche Angriffe können abgewehrt werden, indem die Menge der SYN- (TCP), UDP- und ICMP-Pakete, die in das Netzwerk geschickt werden, über eine bestimmte Zeit begrenzt werden.
TCP-SYN-Flood-Schutz
Um den TCP-SYN-Flood-Schutz zu aktivieren, gehen Sie folgendermaßen vor:
- Wählen Sie auf der Registerkarte Anti-DoS/Flooding die Option TCP-SYN-Flood-Schutz verwenden.
-
Nehmen Sie die folgenden Einstellungen vor:
Modus: Die folgenden Modi sind möglich:
- Quell- und Zieladressen: In diesem Modus können TCP-SYN-Pakete sowohl abhängig von Quell-IP-Adresse als auch von Ziel-IP-Adresse verworfen werden. Zunächst werden die SYN-Pakete, deren Quell-IP-Adresse übereinstimmt, auf die unten festgelegte Quellpaketrate begrenzt. Dann, wenn es immer noch zu viele Anfragen sind, werden diese zusätzlich anhand ihrer Ziel-IP-Adresse gefiltert und auf die Zielpaketrate begrenzt. Dieser Modus ist voreingestellt.
- Nur Zieladresse: In diesem Modus werden die SYN-Pakete nur abhängig von der Ziel-IP-Adresse und der Zielpaketrate verworfen.
- Nur Quelladresse: In diesem Modus werden die SYN-Pakete nur abhängig von der Quell-IP-Adresse und der Quellpaketrate verworfen.
Protokollierung: Mit dieser Option können Sie den Protokollumfang einstellen. Die folgenden Protokollierungsstufen sind verfügbar:
- Aus: Wählen Sie diese Option, wenn nichts protokolliert werden soll.
- Begrenzt: Wählen Sie diese Option, um pro Sekunde maximal fünf Pakete zu protokollieren. Dieser Modus ist voreingestellt.
- Alles: Wählen Sie diese Option, um alle SYN-Verbindungsversuche (TCP) zu protokollieren. Beachten Sie, dass TCP-SYN-Flood-Angriffe schnell zu einer sehr umfangreichen Protokollierung führen können.
Quellpaketrate: Geben Sie in das Eingabefeld die maximale Anzahl der Datenpakete pro Sekunde ein, die für Quell-IP-Adressen erlaubt ist.
Zielpaketrate: Geben Sie in das Eingabefeld die maximale Anzahl der Datenpakete pro Sekunde ein, die für Ziel-IP-Adressen erlaubt ist.
Hinweis – Es ist wichtig, dass Sie in die Eingabefelder angemessene Werte eintragen. Wenn Sie die Werte zu hoch definieren, kann es passieren, dass der Webserver den Dienst versagt, weil er eine derart große Menge an TCP-SYN-Paketen nicht bewältigen kann. Wenn Sie andererseits die Rate zu gering definieren, kann es passieren, dass das Gateway unvorhersehbar reagiert und reguläre Anfragen blockiert. Es hängt hauptsächlich von Ihrer Hardware ab, welche Einstellungen für Sie sinnvoll sind. Ersetzen Sie daher die Standardeinstellungen durch für Ihr System geeignete Werte.
-
Klicken Sie auf Übernehmen.
Ihre Einstellungen werden gespeichert.
UDP-Flood-Schutz
Der UDP-Flood-Schutz erkennt und blockiert UDP-Paketfluten. Die Konfiguration des UDP-Flood-Schutzes ist identisch zu der des TCP-SYN-Flood-Schutzes.
ICMP-Flood-Schutz
Der ICMP-Flood-Schutz erkennt und blockiert ICMP-Paketfluten. Die Konfiguration des ICMP-Flood-Schutzes ist identisch zu der des TCP-SYN-Flood-Schutzes.