Reenvío inverso verificado (uRPF) y antifalsificación

El filtrado de entrada contra el origen falsificado se recomienda desde hace años (RFC 2827, la BCP 38) y el reenvío inverso verificado, uRPF, es una de las formas de hacerlo (RFC 3704). Comprueba la dirección de origen de cada paquete contra la tabla de rutas y tiene tres modos.

En el modo estricto el paquete pasa solo si entró por la misma interfaz por la que el router respondería a ese origen. En el modo flexible (feasible) se admiten varias rutas posibles de vuelta, no solo la mejor. En el laxo solo se exige que exista alguna ruta hacia el origen, sin importar por dónde. El estricto es el más firme, pero exige que ida y vuelta coincidan, algo que un cliente con dos salidas a internet no siempre cumple.

La tabla interfaces lista el modo de cada enlace. Hacia un cliente, la regla útil es sencilla: solo deberían salir de su enlace paquetes con origen dentro de lo que se le asignó. Quitar la comprobación en una interfaz de cliente es dejar que ese cliente, o quien lo comprometa, mande tráfico con el origen que quiera.

Ojo con las filas que no son de clientes. Hacia el tránsito, el modo se decide con otro criterio, y no es el que se revisa aquí.

Un contador de descartes no se lee solo: hay que saber qué descartó y por qué. Un descarte por origen que no pertenece al cliente es el uRPF haciendo su trabajo. Un descarte porque la ruta de vuelta sale por otra interfaz, en un cliente con dos proveedores, es el síntoma de un modo demasiado estricto para ese cliente y paquetes legítimos que se pierden.

Cruza interfaces con descartes_urpf. Una interfaz con modo estricto descarta, sobre todo, tráfico válido de un cliente con dos proveedores.

El modo laxo solo pregunta si existe alguna ruta hacia el origen. Si el router tiene una ruta por omisión en su tabla, cualquier origen tiene «alguna ruta»: la comprobación pasa todo y deja de proteger. Es un caso clásico de una defensa que está activada y no hace nada.

Los contadores son evidencia: cuánto se descartó y dónde. Sumarlos da una cifra para el informe, pero la cifra sola no dice si el uRPF funciona bien, porque incluye tanto los descartes buenos como los falsos positivos de la tarea anterior.

Consulta descartes_urpf y suma los paquetes descartados en 30 días entre todas las interfaces.