Zusammenfassung

  • Striktes uRPF kann legitimen asymmetrischen Verkehr ablehnen, loses uRPF verliert Richtungsbezug; RFC 8704 definiert plausible Mengen je Schnittstelle.
  • Das Verfahren übernimmt die Qualität von BGP-Routen, Präfixfiltern und Beziehungsdaten. Es authentifiziert weder Kundenverträge noch reale Einführung.

Analyse

Quelladressvalidierung fragt, ob ein Paket mit dieser Quelle legitim an dieser Schnittstelle eintreffen konnte. Bei einem einzelnen Anschluss liefert die Weiterleitungstabelle oft eine klare Antwort. Bei Multihoming kann der gewählte Rückweg vom Eingangsweg abweichen. Richtung ist ein Beleg, doch die beste Route ist nicht die gesamte Autorisierung.

BCP 38 formuliert das Ziel der Eingangsfilterung: Verkehr mit gefälschter Quelle nahe am Eintritt stoppen und Missbrauch besser rückverfolgbar machen. RFC 3704 beschreibt mehrere Verfahren. Striktes uRPF sucht die Quelle in der FIB und verlangt, dass Eingangs- und gewählte Rückschnittstelle übereinstimmen. Bei Symmetrie ist das stark; bei asymmetrischer Politik kann es gültigen Verkehr verwerfen.

Loses uRPF prüft nur, ob irgendeine Route zur Quelle existiert. Damit sinken Fehlverwerfungen, zugleich geht die Richtung verloren. Ein irgendwo erreichbares Präfix kann an der beobachteten Schnittstelle dennoch unplausibel sein.

RFC 8704 definiert pro Schnittstelle eine RPF-Liste zulässiger Quellpräfixe. Algorithmus A erweitert sie über den besten Pfad hinaus, aber nicht auf die gesamte Tabelle. Wird eine Route eines Ursprungs-AS über eine Schnittstelle empfangen, können andere angemessen geprüfte Präfixe dieses AS dort ebenfalls plausibel sein.

Die Erweiterung bleibt bedingt. RFC 8704 setzt Präfixfilterung und gegebenenfalls Ursprungsvalidierung voraus. Eine vom falschen Partner gelernte Route wird durch Aufnahme in eine Liste nicht vertrauenswürdig. Die Grenze hängt von Routingdaten und der richtig verstandenen Nachbarschaft ab.

Für schwierige Kunden-Provider-Topologien kann Algorithmus B die Zulassung auf einen bekannten Kundenkegel ausweiten. Das deckt indirekte legitime Quellen ab, erhöht aber die Abhängigkeit von korrekten Geschäftsbeziehungen. Ein veralteter Kegel oder falsch eingestufter Peer erweitert die Grenze über den Vertrag hinaus.

ROA- und IRR-Daten können Listen ergänzen. Sie stärken den Beleg für Präfix und Ursprung, beweisen aber nicht allein die Berechtigung einer Schnittstelle. Ursprungs- und Schnittstellenautorisierung sind verschiedene Aussagen.

Die Kosten umfassen mehr RPF-Zustand, Aktualisierung während BGP-Übergängen, Analyse verworfener Pakete und Ausnahmen. Die Quellen belegen weder universelle Unterstützung noch konkrete Einführung oder gemessene Verbesserung. SAVNET zeigt, dass das Genauigkeitsproblem fortbesteht; seine Charta ist kein Beleg für eine heute verfügbare Zukunftslösung.

Quellen