安全IP组播部署

简介

本文档介绍有关保护IP组播网络基础设施的最佳实践的一般指南。

先决条件

要求

Cisco 建议您了解以下主题：

• IP 组播

使用的组件

本文档不限于特定的软件和硬件版本。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景信息

本文档介绍一些基本概念和术语，并讨论下列主题：

• 保护特定平台和整个网络的机制。
• 任何源组播(ASM)和源特定组播(SSM)模型。
• 组播虚拟专用网络(MVPN)安全。 
• 组加密传输(GET)虚拟专用网络(VPN)架构，为组播数据平面或控制平面流量提供机密性和完整性。

术语

在IP组播中有两种典型的服务模型：

1.任意源组播(ASM)

2.源特定组播(SSM)

在ASM中，接收方通过互联网组成员协议(IGMP)或组播侦听程序发现(MLD)成员身份报告加入组G以指示该组。此报告请求任何源发送到组G的流量，因此名称为“any source”。 相反，在SSM中，接收方加入由源S定义的特定信道，源S向组G发送该信道。以下详细介绍每种服务模型。

任意源组播

ASM模型的特征在于有两种协议："密集模式泛洪和修剪"和"稀疏模式显式连接":

i)密集模式泛洪和修剪协议(DVMRP/MOSPF/PIM-DM)

在密集模式协议中，网络中的所有路由器都知道所有树、它们的源和接收器。距离矢量组播路由协议(DVMRP)和协议无关组播(PIM)等协议密集模式通过创建“修剪状态”在整个网络中泛洪“活动源”信息，并在不需要特定树流量的部分拓扑中构建树。它们也称为泛洪和修剪协议。在组播开放最短路径优先(MOSPF)中，有关接收器的信息在整个网络中泛洪以支持树构建。

不需要使用密集模式协议，因为网络某些部分中构建的每棵树都可能始终导致网络中所有路由器（或管理范围内，如果已配置）的资源利用率（具有收敛影响）。 这些协议在本文的其余部分中不再讨论。

ii)稀疏模式显式连接协议(PIM-SM/PIM-BiDir)

使用稀疏模式显式加入协议时，设备不会在网络中创建组特定状态，除非接收方已发送组的显式IGMP/MLD成员身份报告（或“加入”）。众所周知，ASM的这种变体能够很好地扩展，是重点的组播模式。

这是PIM稀疏模式的基础，大多数组播部署已使用到这一点。这也是双向PIM(PIM-BiDir)的基础，PIM-BiDir正越来越多地用于多个（源）到多个（接收器）应用。

这些协议称为稀疏模式，因为它们有效支持具有“稀疏”接收器群体的IP组播传输树，并仅在源和接收器之间的路径以及PIM-SM/BiDir中交汇点(RP)的路由器上创建控制平面状态。 它们不会在网络的其它部分创建状态。只有在路由器收到来自下游路由器或接收方的加入时，才会明确建立其状态，因此命名为“显式加入协议”。

PIM-SM和PIM-BiDir都采用“共享树”，允许将来自任何源的流量转发到接收方。共享树上的组播状态称为(*,G)状态，其中*是ANY SOURCE的通配符。此外，PIM-SM还支持创建与来自特定源的流量相关的状态。这些状态称为源树，相关联的状态称为(S，G)状态。

源特定组播

SSM是接收器（或某些代理）发送(S，G)“加入”以指示其希望接收由源S发送到组G的流量时使用的模型。这可以通过IGMPv3/MLDv2“INCLUDE”模式成员身份报告实现。此模型称为源特定组播(SSM)模型。SSM要求在路由器之间使用显式连接协议。其标准协议是PIM-SSM，它只是用于创建(S，G)树的PIM-SM的子集。SSM中没有共享树(*,G)状态。

组播接收器因此可以“加入”ASM组G，或“加入”（或更准确地“订阅”到）SSM(S，G)信道。为了避免重复术语“ASM组或SSM通道”，使用术语（组播）流，这意味着流可以是ASM组或SSM通道。

相关组播协议/数据包类型

要保护组播网络，必须了解常见的数据包类型以及如何防范它们。需要考虑的主要协议有三种：

1. IGMP/MLD

2. PIM

3. MSDP

下一节将分别讨论这些协议的每种以及每种协议可能产生的问题。

IGMP/MLD数据包

IGMP/MLD是组播接收器使用的协议，用于向路由器发出信号，表示他们希望接收特定组播组的内容。互联网组成员协议(IGMP)是IPv4中使用的协议，组播侦听程序发现(MLD)是IPv6中使用的协议。

通常部署的IGMP有两个版本：IGMPv2和IGMPv3。一般部署的MLD也有两个版本：MLDv1和MLDv2。

IGMPv2和MLDv1在功能上是等价的，而IGMPv3和MLDv2在功能上是等价的。

这些协议在以下链接中指定：

IGMPv2:RFC 2236

MLDv1:RFC 3590

IGMPv3和MLDv2:RFC 4604

IGMPv2和IGMPv3不仅是协议，也是IPv4 IP协议（具体来说，是协议号2）。 它不仅按照这些RFC中的说明用于报告组播组成员身份，还用于其他IPv4组播协议，例如DVMRP、PIM版本1、mtrace和mrinfo。当您尝试过滤IGMP(例如通过Cisco IOS® ACL)时,记住这一点很重要。 在IPv6中，MLD不是IPv6协议；而是使用ICMPv6传输MLD数据包。PIM版本2是IPv4和IPv6中的相同协议类型（协议号103）。

PIM控制数据包

本节讨论组播和单播PIM控制数据包。讨论了在PIM-SM网络中选择交汇点和控制组到RP分配的自动RP和引导路由器(BSR)。

组播PIM控制数据包

组播PIM控制数据包包括：

• PIM Hello - PIM Hello数据包是本地链路IP组播数据包，发送到连接到同一网络的路由器以建立PIM邻居。
• PIM加入/修剪 — PIM加入/修剪是本地链路范围IP组播数据包，发送到创建/删除组播状态，并且仅发送到PIM邻居。它们在LAN内进行组播以促进断言、报告抑制和其他PIM协议详细信息，但它们始终指向特定邻居。
• PIM DF-elect - PIM Designated Forwarder是Bi-Dir PIM路由器，负责代表连接的接收器或下游PIM邻居向RP发送(*,G)加入。如果PIM路由器检测到另一台路由器在同一网段上为同一组G发送(*,G)加入，则会进行选择以确定具有通向RP的最佳路径的路由器。
• PIM Assert - PIM Assertion是当连接到网段的PIM路由器开始在转发数据包的同一接口上接收来自特定接口的特定(S，G)数据包时发送的本地链路IP组播数据包。此事件表示有另一台路由器认为自己是此(S，G)的单一转发器(SF)。 Assert机制为该(S，G)选择唯一SF。 选择PIM SF路由器为特定(S，G)流转发数据包。PIM允许不同的路由器代表不同的(S，G)执行SF角色，理想情况下，每个(S，G)只有一个SF。 请勿将SF与指定路由器混淆。PIM指定路由器负责发送到PIM-SM网络中RP的加入/修剪或源寄存器。
• PIM Bootstrap - PIM Bootstrap消息在PIMv2网络中发送，以便于为特定组G动态选择交汇点。

单播PIM控制数据包

单播PIM控制数据包定向到RP或从RP传出，包括：

• 源注册数据包 — 发送PIM源注册数据包以向交汇点注册新的组播源。一旦源开始发送组播数据包，连接到源网络的指定路由器就会向RP发送单播注册流，以指示存在活动源，用于由RP负责的组播组。
  源寄存器数据包作为原始组播流的单播封装发送。
  PIM注册消息是进程级交换的，并且只在RP发送注册停止消息之前发送。这些数据包的性能影响与源速率(每(S，G)流成正比。
• 注册停止数据包 — PIM注册停止数据包从交汇点发送到发送注册消息的PIM DR。当RP开始从源本地接收组播数据包时，会立即发送注册停止消息。
• BSR候选 — 交汇点通告数据包 - PIM BSR C-RP — 通告数据包被发送到BSR，以便在选择BSR后通告候选RP。

图1:PIM单播数据包 

图1_PIM_unicast

利用这些数据包的攻击可能来自任何地方，因为这些数据包是单播数据包。

路由器面临的基本威胁

路由器面临许多基本威胁，这些威胁与路由器是否支持组播以及攻击是否涉及组播流量或协议无关。

拒绝服务(DoS)攻击是网络中最重要的通用攻击媒介。原则上，每个网络元素都可能遭受DoS攻击，这可能使元素过载，并可能导致合法用户的服务随后丢失或降级。请务必遵循适用于单播的基本网络安全建议。

值得注意的是，组播攻击并非总是故意的，而往往是偶然的。例如，首次在2004年3月观察到的Witty蠕虫就是一种通过对IP地址的随机攻击传播的蠕虫。由于地址空间的完全随机化，多播IP目标也受到蠕虫的影响。在许多组织中，由于蠕虫将数据包发送到许多不同的组播目的地址，许多第一跳路由器崩溃。但是，路由器在相关状态创建时没有针对此类组播流量负载设定范围，并且实际上经历了资源耗尽。这说明即使企业不使用组播，也需要保护组播流量。

针对路由器的常见威胁包括：

• 任何类型的数据包泛洪；例如，针对硬件路径(例如慢速(punt)路径和软件路径（例如管理或控制平面端口），包括安全外壳(SSH)、Telnet、边界网关协议(BGP)、OSPF、网络时间协议(NTP)等
• 入侵路由器，随后利用路由器的功能；弱Telnet或SSH密码和弱简单网络管理协议(SNMP)社区字符串是现代网络中常见的问题。
• 配置错误或内部攻击等操作问题可能会危及整个网络及其流量的安全。
  
  

在路由器上启用组播时，除了单播之外，还必须保护组播。使用IP组播不会改变基本的威胁模型；但是，它支持可能受到攻击的其他协议(PIM、IGMP、MLD、MSDP)，这些攻击需要特别保护。当在这些协议中使用单播流量时，威胁模型与路由器运行的其他协议相同。

请注意，组播流量不能以与单播流量相同的方式用于攻击路由器，因为组播流量从根本上来说是“接收器驱动的”，不能以远程目标为目标。攻击目标需要明确“加入”到组播流。在大多数情况下（主要例外是自动RP），路由器仅侦听和接收“本地链路”组播流量。本地链路流量从不转发。因此，对带有组播数据包的路由器的攻击只能来自直接连接的攻击者。

来自源端的威胁

组播源（无论是PC还是视频服务器）有时与网络不在相同的管理控制之下。因此，从网络运营商的角度来看，大部分发件人被视为不受信任。考虑到PC和服务器的强大功能及其复杂的安全设置（这些设置往往不完整），发送方对任何网络（包括组播）都构成了严重威胁。这些威胁包括：

• 第2层攻击：第2层上有多种攻击形式来执行各种类型的攻击。这些适用于单播和组播。由于这些攻击形式并不特定于组播，因此本文档不会更详细地讨论它们。有关详细信息，请参阅Cisco出版社出版的《LAN交换机安全》，ISBN-10:1-58705-467-1 的多播地址发送一次邻居消息。
• 使用组播流量的攻击：如前所述，由于第一跳路由器不会转发组播流量，因此很难使用组播流量进行攻击，除非组具有侦听程序。但是，第一跳可以通过组播数据包以多种方式受到攻击：
• 网络饱和攻击：攻击者可以过度利用可用带宽，向分段发送组播数据包，从而导致DoS情况。
• 组播状态攻击：第一跳路由器被组播数据包泛洪，这可能造成过多的状态，从而导致DoS攻击情况。
• 发送方可以通过发送的PIM hello尝试成为PIM DR。在这种情况下，任何流量都不会转发到或来自LAN。
• 可以伪装BiDir-PIM DF的PIM DF选举数据包。在这种情况下，任何流量都不会转发到或来自LAN。
• 发送方可以伪装AutoRP RP发现或BSR引导消息。这将有效通告虚假RP，并关闭或中断PIM-SM/BiDir服务。
• 发送方可能发起单播攻击，例如PIM源注册/注册 — 停止消息，也可能发送BSR通告数据包和通告虚假BSR。
• 发送方可以发送到任何有效的组播组，除非已过滤此组播组。如果源地址在边缘被伪装且未被阻止，则发送方可以使用合法发送方的源IP地址，并覆盖部分网络中的内容。
• 针对控制平面协议的组播攻击：许多与组播无关的协议（例如OSPF和动态主机配置协议[DHCP]）使用组播数据包，它们可用于攻击这些协议
• 伪装：发送方可以伪装成其他发送方的许多攻击形式。欺骗源IP地址就是这种攻击形式。
• 服务失窃：除非发件人受到控制，否则有可能从发件人非法使用组播服务。

注意：主机通常不发送或接收PIM数据包。执行此操作的主机可能会尝试发起攻击。

来自接收方的威胁

接收方通常也是具有大量CPU功率和带宽的平台，并且支持多种攻击形式。这些威胁与发送方威胁大致相同。第2层攻击仍然是重要的攻击媒介。在接收端也可能出现假接收器和窃取服务的情况，但攻击矢量通常是IGMP（或如前所述，第2层攻击）。

对交汇点和BSR的威胁

PIM-SM RP和PIM-BSR是组播网络中的关键点，因此是攻击者的重要目标。如果第一跳路由器也不是，则仅单播攻击形式（包括PIM单播）可以直接针对这些元素。针对RP和BSR的威胁包括：

• 所有通用攻击形式，如“对路由器的基本威胁”一节所述。
• PIM单播攻击（可能包含伪造的源IP地址）允许DoS攻击，但PIM注册或注册停止消息由恶意设备发送。

组播和单播安全（对比）

状态注意事项/过滤器

考虑图3中的拓扑，其中显示一个源、三个接收器(A、B、C)、一个交换机(S1)和两个路由器（R1和R2）。 蓝线代表单播流，红线代表组播流。所有三个接收器都是组播流的成员。

图3:路由器和交换机中的复制

图3_replication_RS

要禁止从特定源到特定接收方的流量，请执行以下操作：

• 对于单播流，在从发送方到接收方的路径上的任意位置安装过滤器。
• 但是，对于组播流，管理员需要对安装过滤器的位置进行更详细的规定：在接收端经过最后复制点后的过滤器在接收端之前；在源端过滤源之后的第一个复制点之前。

来自组播源的攻击

本节适用于ASM和SSM服务模型，其中根据接收方端显式联接的接收来转发流量。

对于单播流，没有隐式接收器保护。单播源可以将流量发送到目的地，即使该目的地没有请求流量。因此，防火墙等防御机制通常用于保护端点。另一方面，组播具有一些内置于协议中的隐式保护。理想情况下，流量只能到达已加入相关流量的接收器。

使用ASM，源可以通过向活动RP所支持的任何组传输组播流量，从而发起流量插入或DoS攻击。理想情况下，此流量不会到达接收方，但至少可以到达路径中的第一跳路由器，也可以到达RP（允许有限攻击）。但是，如果恶意源知道目标接收方感兴趣的组，并且如果没有适当的过滤器，则可以将流量发送到该组。只要接收方监听组，就会收到此流量。

使用SSM时，不需要的源发起攻击只能在第一跳路由器上发生，如果没有接收方加入该(S，G)信道，流量会在第一跳路由器上停止。这不会导致第一跳路由器受到任何状态攻击，因为它会丢弃接收器中不存在显式加入状态的所有SSM流量。在此模型中，恶意源仅知道目标对哪个组感兴趣是不够的，因为“联合”是源特定的。在这里，需要伪装的IP源地址加上潜在的路由攻击才能成功。

状态攻击

即使网络中没有接收器，PIM-SM也会在最靠近源的第一跳路由器以及交汇点上创建(S，G)和(*,G)状态。因此，可能存在对源第一跳路由器和PIM-SM RP上的网络的状态攻击。

如果恶意源开始向多个组发送流量，则对于检测到的每个组，处于网络的路由器会在源和RP处创建状态，前提是相关组由RP配置允许。

因此，PIM-SM会受到源和流量攻击。如果源地址在正确的前缀内随机更改其源IP地址，或者换句话说，仅欺骗地址的主机位，则攻击可能加剧。

图4:ASM RP攻击

图4_ASM_RP_攻击

与PIM-SSM一样，来自源的PIM-BiDir状态创建攻击是不可能的。PIM-BiDir中的流量在由来自接收器的加入创建的状态下转发，以及在将流量转发到RP的状态上转发，以使其可以到达RP后面的接收器，因为加入仅转到RP。向RP转发流量的状态称为(*,G/M)状态，由RP配置（静态、自动RP、BSR）创建。 它在源存在的情况下不会改变。因此，攻击者可以向PIM-BiDir RP发送组播流量，但与PIM-SM不同，PIM-BiDir RP不是“活动”实体，而只是为PIM-BiDir组转发或丢弃流量。

注意：某些Cisco IOS平台(*,G/M)状态不受支持。在这种情况下，源可以通过向多个PIM-BiDir组组播流量来攻击路由器，从而导致(*,G)状态创建。例如，Catalyst 6500交换机支持(*,G/M)状态)。

接收器发起的攻击

攻击可能源自组播接收器。任何发送IGMP/MLD报告的接收器通常会在第一跳路由器上创建状态。单播中没有等价机制。

图5:接收端基于显式加入的流量转发

图5_Receiver_Explicit_Join

接收器攻击可以分为三种类型：

1. 组播接收方可以尝试加入其未授权的流，并尝试接收其未授权接收的内容。
2. 组播接收器可能会通过关注许多组或信道来过载可用网络带宽。这种攻击成为针对其他潜在内容接收方的共享带宽攻击。
3. 组播接收器可能会尝试对路由器或交换机发起攻击。可以生成大量IGMP报告，从而产生大量的组播树状态和潜在的路由器过载。这反过来又会导致组播收敛时间延长，或者导致路由器上的DoS增加。
   
   

缓解此类攻击的各种方法将在下一节“组播网络中的安全性”中介绍。

组播网络中的安全性

网元安全

安全不是单点功能，而是每个网络设计的固有部分。因此，必须在网络的每个点考虑安全性。每个网络元素都必须得到适当的保护，这一点至关重要。一种可能的攻击场景是路由器被入侵者破坏，适用于任何技术。一旦入侵者控制了路由器，攻击者就可以运行许多不同的攻击场景。因此，每个网络元素都必须适当地受到保护，以免受任何形式的基本攻击和特定组播攻击。

本地数据包传输服务(LPTS)

在Cisco IOS XR上，本地数据包传输服务(LPTS)充当到路由器控制平面的流量的监察器，类似于Cisco IOS上的CoPP。此外，接收流量（包括单播和组播流量）可以过滤并限制速率。

组播特定的安全

在启用组播的网络中，每个网络元素都需要使用组播特定的安全功能进行保护。本部分概述了这些功能，用于通用路由器保护。并非每台路由器都要求具备的功能，但仅限于网络中的特定位置，以及需要路由器之间交互（例如PIM身份验证）的功能，将在下一节讨论。

ip multicast route-limit <mroute-limit> <warning-threshold>

图6:Mroute限制

图6_Mroute_Limits

Mroute限制允许设置组播路由表中允许的路由数量的阈值。如果启用了组播路由限制，则不会创建超出配置限制的组播状态。还有一个警告阈值。当路由数量超过警告阈值时，系统会触发系统日志警告消息。在mroute limit处，会丢弃任何会触发状态的其他数据包。

ip multicast route-limit命令也可用于每个MVRF。

ip multicast mrinfo-filter 51
		
access-list 51 deny 192.168.1.1
access-list 51 permit any

ip multicast mrinfo-filter 52

access-list 52 deny any

ip multicast group-range <std-acl>  
ipv6 multicast group-range <std-acl>  

ip pim register-rate-limit <count> 		   

ip pim rp-announce-filter

ip multicast boundary 
              
               
               
 
               
access-list 1 deny 224.0.1.39 
               
access-list 1 deny 224.0.1.40 
               
 
               
224.0.1.39 (RP-announce) 224.0.1.40 (RP-discover) 
               
 
              

Fig10_Mcast_Boundary

图13_域间过滤器

要保护控制平面，请通过三个基本安全措施强化MSDP:

1)MSDP SA过滤器

通过MSDP SA过滤器过滤MSDP消息的内容是“最佳惯例”。此过滤器的主要思想是避免组播状态传播到不是互联网范围的应用和组，并且不需要转发到源域之外。理想情况下，从安全角度来看，过滤器仅允许已知组（以及潜在的发件人），并拒绝任何未知发件人和/或组。

通常无法明确列出所有允许的发件人和/或组。建议对每个组使用单个RP的PIM-SM域使用默认配置过滤器（无MSDP网状组）：

!--- Filter MSDP SA-messages. 
         !--- Replicate the following two rules for every external MSDP peer. 
         !
         ip msdp sa-filter in <peer_address> list 111
         ip msdp sa-filter out <peer_address> list 111
         !
         !--- The redistribution rule is independent of peers.
         !
         ip msdp redistribute list 111
         !
         !--- ACL to control SA-messages originated, forwarded. 
         !
         !--- Domain-local applications.
         access-list 111 deny   ip any host 224.0.2.2     ! 
         access-list 111 deny   ip any host 224.0.1.3     ! Rwhod
         access-list 111 deny   ip any host 224.0.1.24    ! Microsoft-ds 
         access-list 111 deny   ip any host 224.0.1.22    ! SVRLOC
         access-list 111 deny   ip any host 224.0.1.2     ! SGI-Dogfight
         access-list 111 deny   ip any host 224.0.1.35    ! SVRLOC-DA
         access-list 111 deny   ip any host 224.0.1.60    ! hp-device-disc
         !--- Auto-RP groups.
         access-list 111 deny   ip any host 224.0.1.39 
         access-list 111 deny   ip any host 224.0.1.40
         !--- Scoped groups.
         access-list 111 deny   ip any 239.0.0.0 0.255.255.255
         !--- Loopback, private addresses (RFC 6761).
         access-list 111 deny   ip 10.0.0.0 0.255.255.255 any
         access-list 111 deny   ip 127.0.0.0 0.255.255.255 any
         access-list 111 deny   ip 172.16.0.0 0.15.255.255 any
         access-list 111 deny   ip 192.168.0.0 0.0.255.255 any
         !--- Default SSM-range. Do not do MSDP in this range.
         access-list 111 deny   ip any 232.0.0.0 0.255.255.255
         access-list 111 permit ip any any
         !

建议尽可能严格地过滤入站和出站方向。

有关MSDP SA过滤器建议的详细信息，请参阅：https://www.cisco.com/c/en/us/support/docs/ip/ip-multicast/13717-49.html

ip msdp sa-limit <peer> <limit> 

图14_MSDP_ControlPlane

使用ip msdp sa-limit命令可以限制由于从MSDP对等体接收的SA消息而创建的SA状态的数量。一些简单的经验法则建议包括：

• 来自末节邻居的小限制 
• 来自传输邻居的大限制(例如Internet中#SAs最大限制)
• 中转ISP — 配置您的平#SAs可支持的最大数量

3)MSDP MD5邻居身份验证

建议在MSDP对等设备上使用消息摘要算法(MD5)密码身份验证。这使用TCP MD5签名选项，等同于RFC 6691中所述的用于保护BGP的选项。

图15:MSDP MD5邻居身份验证

图15_MSDP_MD5Auth

这三个MSDP安全建议追求不同的目标：

• 邻居身份验证（使用MD5）确保只有受信任的MSDP对等体才能发送消息。
• SA过滤器可确保即使受信任的MSDP对等也只能发送符合预先商定的源/组策略的SA通告。
• SA限制进一步确保即使有来自合法对等体的合法(S，G)通告，可用内存也无法耗尽。

发件人/源问题

通过适当的单播安全机制，可以缓解源自发送方的许多组播安全问题。下面是推荐的一些单播安全机制：

• 源地址欺骗保护（接入层的单播逆向路径转发、uRPF或ACL和IP源保护）
• 基础设施ACL(deny ip any(to)<core address space>)

此类措施可用于阻止对核心的定向攻击。例如，这还可以解决使用PIM单播数据包到RP的攻击等问题，RP位于网络的“内部”，因此受基础设施ACL保护。

基于数据包过滤器的访问控制 — 控制源

在图16所示的示例中，过滤器是在第一跳组播路由器（指定路由器）的LAN接口(E0)上配置的。 过滤器由称为“源”的扩展访问控制列表定义。此ACL应用于连接到源LAN的指定路由器的面向源的接口。事实上，由于组播流量的性质，可能需要在所有面向局域网的接口上配置一个类似的过滤器，源设备可能会变为活动状态。由于不可能在所有情况下都准确知道源活动发生的位置，因此建议对进入网络的所有入口点应用此类过滤器。

图16:控制源

图16_Controlling_Sources

ip pim accept-register / ipv6 pim accept-register

图17_PIMSM_Control

在PIM-SM网络中，可以使用此命令控制不需要的流量源。当源流量到达第一跳路由器时，第一跳路由器(DR)会创建(S，G)状态，并向RP发送PIM源寄存器消息。如果源未列在accept-register过滤器列表（在RP上配置）中，则RP拒绝注册，并向DR发回立即注册停止消息。

在显示的示例中，简单的ACL已应用到RP，RP仅过滤源地址。也可以在RP上使用扩展ACL过滤源和组。

源过滤器有一些缺点，因为在RP上使用pim accept-register命令，仍会在源的第一跳路由器上创建PIM-SM(S，G)状态。这可能导致源本地接收器处的数据流以及源与RP之间的数据流。此外，pim accept-register命令在RP的控制平面上运行。这可用于使用虚假注册消息使RP过载，并可能导致DoS情况。

建议在RP上应用pim accept-register命令，以及其他方法，例如在所有的DR上、所有进入网络的入口点上应用简单的数据平面ACL。虽然DR上的入口ACL在配置完善且运行良好的网络中足够用，但建议在RP上配置pim accept-register命令，作为边缘路由器配置错误时的辅助安全机制。具有相同目标的分层安全机制称为“深度防御”，是安全领域的常见设计原则。

接收器问题 — 控制IGMP/MLD

大多数接收器问题属于IGMP/MLD接收器协议交互领域。

图18:控制IGMP

图18_Controlling_IGMP

过滤IGMP或MLD数据包时，请记住以下几点：

• IPv4:IGMP是IPv4协议类型（IPv4协议2）
• IPv6:MLD在ICMPv6协议类型数据包中传输

启用IP组播后，IGMP进程默认启用。IGMP数据包还承载这些协议，因此只要启用组播，就会启用所有这些协议：

• PIMv1 - PIMv1是PIM的第一个版本，在Cisco IOS中始终启用，用于迁移目的。当前部署都使用PIMv2。
• Mrinfo - Mrinfo是Cisco IOS继承的Unix命令，用于显示组播邻居。Cisco建议使用SNMP而不是mrinfo命令。
• DVMRP - DVMRP是一种传统密集模式距离矢量协议，扩展特性非常有限。Cisco IOS对DVMRP的支持已停用或已弃用。
• Mtrace - Mtrace是单播“traceroute”的等价组播协议，是一个非常有用的工具

有关详细信息，请参阅IANA的互联网组管理协议(IGMP)类型编号

Router> mtrace 172.16.0.0 172.16.0.10 239.254.254.254
		
Type escape sequence to abort.
Mtrace from 172.16.0.0 to 172.16.0.10 via group 239.254.254.254
From source (?) to destination (?)
Querying full reverse path... 
 0  172.16.0.10
-1  172.16.0.8 PIM  thresh^ 0  0 ms 
-2  172.16.0.6 PIM  thresh^ 0  2 ms 
-3  172.16.0.5 PIM  thresh^ 0  894 ms 
-4  172.16.0.3 PIM  thresh^ 0  893 ms 
-5  172.16.0.2 PIM  thresh^ 0  894 ms 
-6  172.16.0.1 PIM  thresh^ 0  893 ms 

单播IGMP数据包（用于IGMP/UDLR）可以过滤，因为它们最可能是攻击数据包，而不是有效的IGMP协议数据包。Cisco IOS支持单播IGMP数据包，以支持单向链路和其他异常情况。

伪造的IGMP/MLD查询数据包可导致IGMP版本低于预期。

特别是，理想情况下，主机从不发送IGMP查询，因为用较低的IGMP版本发送的查询可能导致收到此查询的所有主机恢复到较低版本。在IGMPv3/SSM主机存在的情况下，这可以“攻击”SSM流。对于IGMPv2，这会导致更长的离开延迟。

如果存在具有单个IGMP查询器的非冗余LAN，路由器需要丢弃收到的IGMP查询。

如果存在冗余/通用被动LAN，则需要能够进行IGMP监听的交换机。在这种情况下，有2个特定功能可以帮助：

• 路由器防护
• IGMP最低版本命令

路由器防护

如果交换机在该端口上收到组播路由器控制数据包（IGMP通用查询、PIM Hello或CGMP Hello），则任何交换机端口都可以成为组播路由器端口。当交换机端口成为组播路由器端口时，所有组播流量都会发送到该端口。这可以通过“路由器防护”加以阻止。路由器防护功能不需要启用IGMP监听。

路由器防护功能允许将指定的端口指定为组播主机端口。即使收到组播路由器控制数据包，该端口也不能成为路由器端口。

如果在启用路由器防护的端口上收到以下数据包类型，则丢弃这些数据包：

• IGMP查询消息
• IPv4 PIMv2消息
• IGMP PIM消息(PIMv1)
• IGMP DVMRP消息
• 路由器端口组管理协议(RGMP)消息
• 思科组管理协议(CGMP)消息

当丢弃这些数据包时，会更新统计信息，指示由于路由器防护而丢弃数据包。

IGMP最低版本

可以配置允许的IGMP主机的最低版本。例如，您可以禁止所有IGMPv1主机或所有IGMPv1和IGMPv2主机。此过滤器仅适用于成员身份报告。

如果主机连接到一个通用的“被动”LAN（例如，不支持IGMP监听的交换机，或者没有针对它进行配置），则路由器除了忽略随后触发的“旧版本”成员身份报告而无法执行此类错误查询之外，也不能自行执行其他操作。

由于IGMP查询必须对所有主机可见，因此不能使用具有预共享密钥(例如静态密钥IPSec)的基于哈希的消息身份验证(HMAC)机制来验证来自“有效路由器”的IGMP查询。如果两个或多个路由器连接到一个通用LAN网段，则需要选举IGMP查询器。在这种情况下，唯一可以使用的过滤器是ip access-group filter，它基于发送查询的其他IGMP路由器的源IP地址。

必须允许“正常”组播IGMP数据包。

此过滤器可用于接收器端口，以仅允许“正常”IGMP数据包，并过滤已知的“不良”数据包：

ip access-list extended igmp-control
   <snip>
   deny   igmp any any  pim        ! No PIMv1
   deny   igmp any any  dvmrp      ! No DVMRP packets
   deny   igmp any any  host-query ! Do not use this command with redundant routers. 
                                   ! In that case this packet type is required !								   
   permit igmp any host 224.0.0.22 ! IGMPv3 membership reports
   permit igmp any any  14         ! Mtrace responses
   permit igmp any any  15         ! Mtrace queries 
   permit igmp any 224.0.0.0 10.255.255.255 host-query  ! IGMPv1/v2/v3 queries
   permit igmp any 224.0.0.0 10.255.255.255 host-report ! IGMPv1/v2 reports
   permit igmp any 224.0.0.0 10.255.255.255 7           ! IGMPv2 leave messages
   deny   igmp any any             ! Implicitly deny unicast IGMP here!
   <snip>
   permit ip   any any             ! Permit other packets

interface ethernet 0
   ip access-group igmp-control in

注意：此类IGMP过滤器可用于接收ACL或CoPP。在这两种应用中，都需要将其与过滤器结合使用，以用于处理其他流量，例如路由和管理平面协议。 

图19:主机接收器端访问控制

图19_Host_Receiver_Access

ip igmp access-group / ipv6 mld access-group

access-list 1 deny 226.1.0.0 0.0.255.255
access-list 1 permit any log
!
interface ethernet 1/3
 ip igmp access-group 1

ip access-list extended test5
 deny igmp host 10.4.4.4 host 232.2.30.30
 permit igmp any any
!
interface Ethernet0/3
 ip igmp access-group test5

ip igmp limit <n> [ except <ext-acl> ]
ipv6 mld limit <n> [ except <ext-acl> ]

ip access-list extended channel-guides
  permit ip any host 239.255.255.254 ! SDR announcements
  deny   ip any any
  
ip igmp limit 1 except channel-guides

interface ethernet 0
  ip igmp limit 2 except channel-guides

图20_PerInterface_IGMP

ip multicast limit [ rpf | out | connected ] <ext-acl> <max>

ip multicast limit cost <ext-acl> <multiplier>

ip multicast limit cost acl-MP2SD-channels   4000 ! from any provider
ip multicast limit cost acl-MP2HD-channels  18000 ! from any provider
ip multicast limit cost acl-MP4SD-channels   1600 ! from any provider
ip multicast limit cost acl-MP4HD-channels   6000 ! from any provider
!
interface Gig0/0
description --- Interface towards DSLAM ---
<snip> 
! CAC
ip multicast limit out 250000 acl-CP1-channels
ip multicast limit out 250000 acl-CP2-channels
ip multicast limit out 250000 acl-CP3-channels

permit ip 10.0.0.0   0.255.255.255   10.0.0.0   0.255.255.255

permit ip any 239.192.0.0 0.0.255.255

使用GET VPN验证控制平面流量

通常最佳做法是对控制平面流量（例如路由协议）进行身份验证，以确保消息来自受信任的对等体。对于使用单播的控制平面协议（例如BGP）来说，这相对简单。但是，许多控制平面协议使用组播流量。例如OSPF、RIP和PIM。有关完整列表，请参阅IANA的IPv4组播地址空间注册。

其中一些协议具有内置身份验证，如路由信息协议(RIP)或增强型内部组路由协议(EIGRP)，其他协议则依靠IPSec提供此身份验证（例如OSPFv3、PIM）。 对于后一种情况，GET VPN提供了一种可扩展的方法来保护这些协议。在大多数情况下，要求是协议消息身份验证，或者换句话说，验证消息是否由受信任的对等体发送。但是，GET VPN也允许加密此类消息。

要保护（通常仅进行身份验证）此类控制平面流量，需要使用ACL描述流量并将其包括在GET VPN策略中。详细信息取决于要保护的协议，其中需要注意的是ACL是否包括仅通过入口GET VPN节点（已封装）或也通过出口节点的流量。

保护PIM协议有两种基本方法：

• permit ip any 224.0.0.13 0.0.0.0:这是“所有PIM路由器”组播组。但是，这并不能保护单播PIM消息
• permit pim any:这可以确保PIM协议的安全，无论使用的是组播还是单播

注意：这些命令作为示例提供，以帮助解释概念。例如，必须排除用于引导PIM的某些PIM协议，例如BSR或自动RP。这两种方法都有一定的优点和不便之处，这取决于部署情况。有关详细信息，请参阅有关如何使用GET VPN保护PIM的特定文献。

结论

组播在网络中正逐渐成为一种常见服务。家庭/家庭宽带网络中的IPTV服务的出现，以及世界许多金融市场向电子交易应用的转移，仅仅是要求组播成为绝对要求的两个例子。组播具有各种不同的配置、操作和管理挑战。其中一个关键挑战是安全。

本文档研究了多种保护组播的方法：

• 首先，查看整体组播控制和数据平面，解释与单播的差异如何带来新的安全挑战。
• 接下来，对多址网络中遇到的主要协议（特别是IGMP、PIM和MSDP）进行了一些详细的研究。在每种情况下，都会提供安全威胁说明和针对这些威胁推荐的缓解最佳做法。
• 此外，关于如何在某些特定应用中保护组播的一些特定示例，例如宽带边缘网络，与特定视频流可能需要的带宽量相比，宽带边缘网络的带宽可能会受到限制。
• 最后，GET VPN架构被描述为与IPSec集成的组播方式，用于安全VPN的传输。

考虑到组播安全，请记住它与单播的不同之处。组播传输基于动态状态的创建，组播涉及动态数据包复制，组播会响应PIM JOIN / PRUNE消息构建单向树。整个环境的安全性包括了解和部署丰富的Cisco IOS命令框架。这些命令主要围绕保护协议操作、状态（组播）或针对CoPP之类的数据包放置的策略器为中心。正确使用这些命令可以为IP组播提供强大的保护服务。

综上所述，本文提出并描述了多种方法：

1. 广泛使用SSM — 这是最简单的PIM模式，也允许使用(S，G)转发。 
2. 如果需要ASM服务，请确保可提供强大的服务 — 使用静态定义的RP比动态RP通告提供更安全的控制平面。自动RP和BSR更加灵活
3. 如果已启用PIM-SM，请观察特定漏洞区域，如到RP的注册隧道，并确保DR始终受到良好的保护。CoPP在这些领域非常有用。
4. 如果需要域间ASM服务，请考虑是否可以部署BiDir PIM。
5. 使用全局mroute/igmp状态限制 — 了解您的平台的功能以及在正常情况下以及在最坏情况下您所需的最大状态数量。在平台功能范围内配置限制，使您的网络能够最大限度地运行。
6. 基本过滤器 — rACL/CoPP和基础设施ACL，在接入层阻止PIM

IP组播是一种激动人心的可扩展方式，可提供各种应用服务。与单播一样，它需要在各种不同的区域受到保护。本文提供了可用于保护IP组播网络的基本构建块。

相关信息

• 企业IP组播地址分配指南
• 配置IPv4 IGMP过滤器
• 群组加密传输 VPN