Ingress filtering — tarmoqqa kirib kelayotgan paketlarni manba, manzil, protokol va siyosatga muvofiqligi bo‘yicha tekshirib, nomaqbul trafikni chegarada rad etish amaliyotidir. Uning asosiy vazifalaridan biri soxtalashtirilgan manba IP manzilli paketlarni to‘xtatishdir. Filtrlash internet provayderi, korporativ router, firewall yoki bulut tarmog‘i chegarasida bajarilishi mumkin.
Manba manzilini tekshirish
Tashqi interfeysdan kelgan paketning manba manzili ichki, private, loopback yoki hujjatlashtirish uchun ajratilgan diapazonga tegishli bo‘lsa, odatda u haqiqiy internet manbasi bo‘la olmaydi. Bunday paket bogon yoki spoofed trafik sifatida tashlanadi. Mijoz tarmog‘idan provayderga chiqayotgan paket esa aynan shu mijozga ajratilgan prefiksdan kelishi kerak.
BCP 38 deb tanilgan tarmoq amaliyoti manba manzilini soxtalashtirishni operator chegarasida kamaytirishga qaratilgan. U barcha DDoS hujumlarini to‘xtatmaydi, lekin reflection va amplification hujumlarida hujumchi jabrlanuvchi manzilini manba sifatida ko‘rsatishini qiyinlashtiradi.
uRPF rejimlari
Unicast Reverse Path Forwarding router jadvali yordamida paket manbasiga qaytish yo‘lini tekshiradi. Strict rejimda eng yaxshi qaytish yo‘li paket kirgan interfeys orqali bo‘lishi talab qilinadi. Simmetrik tarmoqda bu kuchli nazorat beradi, ammo multihoming yoki asimmetrik routingda qonuniy paketni ham rad etishi mumkin.
Loose rejim manba prefiksi routing jadvalida umuman mavjudligini tekshiradi. U asimmetrik yo‘llarga mosroq, lekin spoofingga qarshi himoyasi yumshoqroq. Feasible-path yondashuvi manbaga olib borishi mumkin bo‘lgan bir nechta maqbul yo‘lni hisobga oladi. Rejim tarmoq topologiyasi va operatsion talabga qarab tanlanadi.
ACL va holatli filtrlash
Access control list manba va manzil prefiksi, transport protokoli hamda portlar asosida qoidalar qo‘llaydi. Stateful firewall esa ulanish holatini kuzatib, faqat mavjud sessiyaga tegishli javoblarni o‘tkazishi mumkin. Tarmoq chegarasida minimal zarur xizmatlar ochiladi, boshqaruv protokollari faqat ishonchli manbalardan qabul qilinadi.
IPv6 uchun ham alohida qoidalar talab qilinadi. Faqat IPv4ni filtrlab, IPv6ni nazoratsiz qoldirish xavfsizlik siyosatini chetlab o‘tish imkonini beradi. ICMPv6ni butunlay bloklash ham noto‘g‘ri, chunki Neighbor Discovery va Path MTU Discovery kabi muhim funksiyalar unga bog‘liq.
Joriy etish va kuzatuv
Filtrlash qoidalari avval kuzatuv yoki hisoblagich rejimida baholanadi. Log va telemetriya qaysi manbalar rad etilishini, qonuniy trafik ta’sirlanganini va hujum naqshini ko‘rsatadi. Qoidalar avtomatik prefiks ro‘yxati bilan yangilansa, manbaning ishonchliligi va xato yangilanishdan qaytish mexanizmi muhim.
Ingress filtering egress filtering bilan birga samaraliroq: kiruvchi trafik tashqi tahdidni, chiquvchi nazorat esa ichki qurilmadan soxtalashtirilgan paket tarqalishini cheklaydi. Filtrlar routing xavfsizligi, DDoS himoyasi va segmentatsiyani almashtirmaydi, balki ularning chegaraviy qatlamini tashkil etadi.
Dinamik routing bilan uyg‘unlik
Prefikslar doimiy bo‘lmagan tarmoqda statik ACL tez eskiradi. Operator routing jadvali, RPKI asosidagi ma’lumot va mijoz provisioning tizimidan tekshirilgan ro‘yxat hosil qilishi mumkin. Avtomatlashtirish noto‘g‘ri prefiksni ommaviy bloklamasligi uchun staged rollout, change review va tez rollback talab etadi. ECMP yoki multihoming mavjud bo‘lsa strict uRPF qonuniy asimmetrik trafikni yo‘qotishi mumkin; loose yoki feasible-path rejimi sinov bilan tanlanadi. Rad etilgan paket counterlari interfeys va prefiks bo‘yicha alertga ulanadi.
Filtr siyosati favqulodda holatda kim tomonidan va qancha muddatga yumshatilishi ham oldindan hujjatlashtiriladi; vaqtinchalik istisno avtomatik tugash sanasiga ega bo‘ladi.
Bog‘liq tushunchalar
BCP 38, uRPF, Access control list, IP spoofing, Egress filtering, DDoS