RTX1000/1100 運用Tips のバックアップ(No.1)

• バックアップ一覧
• 差分 を表示
• 現在との差分 を表示
• ソース を表示
• RTX1000/1100 運用Tips へ行く。
  • 1 (2014-03-30 (日) 01:44:58)

目次

運用 †

NATディスクリプタ溢れ対策 †

概要 †

NATディスクリプタテーブルの溢れ対策。
RTX1000 / 1100の使用方法によってはテーブル溢れが発生し、ルータが応答不能となる事象に対する対策方法。

事象 †

NATを使用している環境に対するTCP SYN flooding攻撃が行われた際に、RTX1000/1100のNATディスクリプタテーブルが溢れ、CPU負荷の急上昇と、これに伴うルータの応答不能が発生する。
これはRTX1000/1100共にNATディスクリプタテーブルは4096レコードしかなく、値を増やす事もできない仕様に起因するが、仮にレコード数が多くてもそれを上回る飽和攻撃をされた場合には同じ事象が発生することとなる。

また、RTX1000/1100の仕様として、NATディスクリプタテーブルはIPフィルタの外側に位置しているため、IPフィルタにて特定の接続元を排除しても解消することができない。

参考：[[IPパケット・フィルタリング機能のインタフェースへの適用位置 |http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/apply-filter-to-interface.html]]

状況の確認 †

NATディスクリプタテーブルの使用状況は以下のコマンドで確認することができる。

show nat descriptor address

コマンドを

対策1(RTX1100のみ) †

RTX