31-GLBP ATTACK
GLBP NEDİR
Ağdaki yönlendiricilerde bir sorun oluştuğunda yönlendirme işleminin devamlılığı yedeklilik protokolleriyle sağlanır. HSRP (Hot Stand-by Routing Protocol - Sıcak Yedekli Yönlendirme Protokolü), VRRP (Virtual Router Redundancy Protocol - Sanal Yönlendirici Yedeklilik Protokolü) ve GLBP (Gateway Load Balancing Protocol - Ağ Geçidi Yük Dengeleme Protokolü) bu protokollerden bazılarıdır. GLBP, Cisco firmasının geliştirdiği bir yedeklilik protokolüdür. GLBP'nin diğer yedeklilik protokollerinden farkı, yönlendirmede yük dengelemesini kullanmasıdır. Diğer protokollerde aynı gruba ait birden fazla yönlendirici bulunsa bile yönlendirme işlemi tek bir yönlendirici üzerinden yapılır.
GLBP tek bir sanal IP adresi kullanırken, birden fazla sanal MAC adresi kullanır ve bu sayede yönlendiriciler arasında yük dengelemesi sağlanır. GLBP grubunda bir adet aktif yönlendirici (Active Virtual Router) seçilir; yönlendiricilerden biri aktif modda iken diğeri bekleme modunda olur. Bu iki yönlendirici birbirlerine belirli aralıklarla "hello" paketleri gönderirler. Eğer aktif olan yönlendirici ağ yöneticisi tarafından belirlenmiş sürede bir "hello" paketi göndermezse, beklemedeki yönlendirici aktif olanın yerine geçer. Grup içinde dinleme modunda olan yönlendiricilerden biri de öncelik değerine göre bekleme moduna geçiş yapar. Aktif yönlendiricinin seçimi, GLBP öncelik değerine göre yapılır. Aktif yönlendirici, diğer grup üyelerine her birine eşsiz sanal bir MAC adresi verir. Bu grup üyeleri, aktif sanal taşıyıcı (Active Virtual Forwarder) olarak adlandırılır. Aktif yönlendirici, gelen ARP isteklerine cevap vermekle yükümlüdür. Yük dengeleme, ARP isteklerine verilen cevaplardaki sanal MAC adresleriyle sağlanır. Aktif sanal taşıyıcılardaki yedeklilik, aktif sanal yönlendiricilerdekine benzerlik gösterir. GLBP grubuna ait yönlendiricilerden birkaçı aktif yönlendirici olarak seçilebilir.
GLBP üyeleri birbirleriyle iletişim kurarken 224.0.0.102 IP adresi üzerinden 3222 numaralı UDP portunu kullanır. Kullanılan sanal MAC adresleri, 0007.b4yy.yyy şeklindedir ve ilk 24 bit sabittir. Sonraki 16 bit GLBP grubu numarasını ve son 8 bit taşıyıcı numarasını içerir. MAC adresinden anlaşıldığı kadarıyla protokol, 1024 adet GLBP grubunu ve 255 adet taşıyıcı sayısını destekleyebilir. Ancak protokol, her gruba en fazla 4 adet sanal MAC adresi verebilir. Gruba ait üyeler, kendi gerçek MAC adreslerini ve IP adreslerini grup içi iletişimde kullanırlar.
Avantajları:
GLBP tek bir alt ağdan gelen trafiğin çoklu ağ geçitlerinden iletilebilmesini tek bir varsayılan IP adresiyle mümkün kılar.
Ağ yöneticisinin üzerindeki yönetimsel yükü azaltır.
Aynı anda ağ geçinden geçen birden fazla yol kullanılarak etikili bir biçimde ağ kaynakları kullanılabilir.
Tek ağ geçidi bulunan ağlarda, farklı sebeplerden dolayı cihaz hizmet veremeyecek hale gelmesi durumunda yedeklilik mekanizması devreye girer ve erişimin devamlılığı kesinti olmadan sağlanır.
Kullanılan yük denegeleme algoritmasına göre bir düğümden çıkan trafik otomatik olarak yük dengeleme işlemiyle iletilir.
Özellikleri:
Ağ geçidinde herhangi bir sorun ile karşılaşıldığında GLBP hızlıca devreye girer ve hiç kesinti olmamış gibi iletim devam eder.
Protokolün temel yapılandırması karmaşık değildir.
Çok az sistem kaynağı harcar.
Basit bir doğrulama mekanizması kullanılır.
Eski veya yeni sistemler ile uyumludur.
Çok sayıda yük dengeleme protokolü ile çalışabilir durumdadır.
En fazla 4 adet cihaz ile yedeklilik sağlanabilir.
GLBP Şartları
Virtual IP address
Bir IP adresi, tüm yerel ana bilgisayarlar için varsayılan ağ geçidi olarak yapılandırılan yerel alt ağdan sanal bir IP adresi olarak atanır.
Actual Virtual Gateway (AVG)
Gruptaki her üyeye sanal Mac adresi atamaktan ve cihazlardan gelen ARP isteğine yanıt vermekten sorumlu, tek grupta GLBP'yi çalıştıran yönlendiricilerden biridir. AVG, gruptaki en yüksek öncelik değerine veya IP adresine sahiptir.
Actual Virtual forwarder (AVF)
Bunlar AVG'yi tek bir GLBP grubunda içeren yönlendiricilerdir. Bunlar aslında AVG tarafından görev için atandıktan sonra verileri iletmekten sorumludur. AVG'nin devre dışı kalması durumunda AVF'lerden biri AVG olabilir.
Preempt
AVF'lerden birinin AVG yönlendiricisi olacağı durumdur (AVG yönlendiricisi çöktüğünde). Ayrıca, AVG yönlendirici tekrar ortaya çıktığında, önceliği hala yüksek olduğundan (varsayıldığı gibi) AVG yönlendiricisi olacaktır.
Object tracking
GLBP, GLBP grubundaki her yönlendiricinin iletim kapasitesini belirlemek için bir ağırlıklandırma şeması kullanır. GLBP arayüzü izler ve ağırlığını ayarlar, yani izlenen arayüz çökerse belirli bir değer kadar azalır (konfigürasyona göre).
GLBP Konseptleri
Gerçek Sanal Ağ Geçidi (AVG), aynı gruptaki tüm diğer yönlendiricilere GLBP'yi çalıştıran sanal MAC adreslerini sağlar. Geri kalan yönlendiriciler Gerçek Sanal İleticidir (AVF). Bir alt ağ cihazı (ana bilgisayar), sanal IP adresinin MAC adresini öğrenmek için bir ARP isteği gönderdiğinde, bir AVF tarafından sağlanan bir sanal MAC adresiyle AVG tarafından yanıtlanır. AVG, sanal MAC adresini Round Robin algoritması veya diğer uygulanan algoritmaları kullanarak sağlar. Bu şekilde, GLBP'yi çalıştıran tüm cihazlar trafiği yönlendirmek için kullanılır.
GLBP'nin Sanal MAC Adresi Atama Süreci: Bir alt ağ cihazı (ana bilgisayar), trafik göndermek istediğinde, bir ARP isteği göndererek sanal IP adresi için bir MAC adresi ister. ARP isteğine yanıt olarak, bir AVF tarafından sağlanan bir sanal MAC adresiyle AVG yanıt verir.
Sanal Ağ Geçidi Yedekliliği: GLBP üyeleri, ağ geçidi arızasını tespit etmek için her 3 saniyede bir 224.0.0.102 multicast adresine gönderilen "merhaba" mesajları aracılığıyla iletişim kurar. Eğer AVG başarısız olursa, en yüksek önceliğe sahip bir AVF, AVG'nin rolünü üstlenecek ve sanal MAC adreslerini sağlamaktan sorumlu olacaktır.
Sanal İleticinin Yedekliliği: Bir AVF arızalanırsa, aynı GLBP grubundaki diğer AVF'lerden biri paketleri iletmek için sorumluluk alır. Bir GLBP grubunda en fazla 4 yönlendirici bulunabilir.
GLBP Yük Dengeleme
GLBP, yük Dengeleme için 3 algoritma kullanır ,
Round-Robin : AVG, sanal Mac adreslerini seri olarak atayacaktır; tıpkı ilk sanal Mac adresinin AVF1'e, ardından AVF2'ye vb. atanması gibi.
Host-dependent : Belirli bir ana bilgisayarın her seferinde belirli bir sanal Mac adresine ihtiyacı varsa, AVG tarafından ana bilgisayarlara belirli bir AVF atanır.
Weighted : Yük, gereksinime göre dağıtılacaktır, yani sanal Mac adresinin orantılarla atanması. Bazı AVF'lerin diğerlerinden daha fazla trafiği işlemesini istiyorsak ağırlığı değiştirin.
Not
Sanal yönlendiricilere ağ yöneticisi tarafından atanmış olan sanal IP adresine gelen ARP (Adres Çözümleme Protokolü) isteklerini AVG cevaplar. Cevap olarak, gerçek fiziksel adres yerine oluşturulan üç adet sanal fiziksel adreslerden birini döndürür. Sanal fiziksel adresler, ağ yöneticileri tarafından tanımlanmamışsa, GLBP otomatik olarak sanal bir fiziksel adres üretir. Üretilen GLBP sanal fiziksel adresi şu formattadır:
Üretici kodu (00.07.B4) + GLBP (00) + Grup numarası + AVF numarası
Örneğin, 1 numaralı GLBP grubu için AVG'nin sanal fiziksel adresi 0007.B400.0101 olacaktır. Diğer AVF'ler için 0007.B400.0102 ve 0007.B400.0103 şeklinde devam eder. AVF'ler için oluşturulan sanal fiziksel adresler, yönlendiricilerin aynı zamanda kimlik numaralarıdır. İstemci bilgisayarların ARP önbelleklerine bakıldığında, sanal IP ve fiziksel adresler görülecektir.
Önemli Noktalar
GLBP, UDP'nin ( 3222 numaralı bağlantı noktası ) üzerinde, yani Uygulama katmanında çalışır.
224.0.0.102 Multicast adresi üzerinden merhaba mesajları gönderir . “hello” paketlerini 1 saniye aralıklar ile göndererek haberleşirler.
Gruptaki en yüksek öncelik değerine veya en yüksek IP adresine (Öncelik bir eşitlikse) sahip olan yönlendirici, Aktif Sanal Ağ Geçidi (AVG) olur .
GLBP grup numaraları 0 ila 1023 arasındadır. Bu, fiziksel arayüz başına maksimum 1024'e kadar grupları kullanabileceğiniz anlamına gelir.
Yönlendirici önceliği 1 ile 255 arasında olabilir (255 en yüksek değerdir) ve 100 varsayılan değerdir.
GLBP, açık metin ve MD5 şifre kimlik doğrulamasını destekler.
Bir GLBP grubu yalnızca bir AVG'ye, birden fazla AVF'ye sahip olabilir ve AVG, AVF'ler arasındaki yük dengelemesinden sorumludur.
Omurgadaki bütün yönlendiriciler aktif-aktif olarak çalışabilmektedir.
GLBP Packet Türleri
GLBP'nin üç farklı paket türü vardır: Merhaba, İstek ve Yanıt.
Merhaba Paketi: Bu paket türü, protokol bilgilerinin duyurulması için kullanılır. Merhaba paketleri çok noktaya yayınlanır ve herhangi bir sanal ağ geçidi veya sanal iletici Konuşma, Beklemede veya Etkin durumda olabilir.
İstek ve Yanıt Paketleri: Bu paketler, sanal MAC adres ataması için kullanılır. Her ikisi de etkin sanal ağ geçidinden (AVG) gider ve bu ağ geçidinden gelen tek noktaya yayınlanır.
Örnek Konfigürasyon
Lab ortamı, resimde gösterildiği gibi örnek olarak hazırlanmıştır.
Diyelim ki R1 ve R2 iç ağa bakan bacakları koptu veya bozuldu bunları birde resmederek görelim.
Birinci router etkisiz olduktan sonra ikinci router çıktısı önemli bir şekilde inceleyiniz.
En don çıktıya bakarsak rota olarak belirlendi ve bütün trafik oranın üstünden geçmesini sağladık.
GLBP BASİC ATTACK
Bu bölümde, GLBP'nin ileri seviye saldırı mantığını anlamayı ve savunma stratejilerini incelemeyi çalışacağız.
Kullanacağımız topoloji şu şekildedir.
Daha önce sistemlerin birbirleriyle iletişim kurabildiğinden emin olalım.
Ağda kimin Active AVG olduğunu, kimin Standby olduğunu ve öncelik değerlerini öğrenmek için başlamadan önce, sistemlerin birbirleriyle iletişim kurup kurmadığını kontrol edelim. Sonra hacking işlemine başlayabiliriz.
Aktif AVG 172.16.1.1 olarak görülüyor.
R1 => 110
R2 => 100
R3 =>90
R1 => 172.16.1.1
R2 => 172.16.1.2
R3 =>172.16.1.3
Ekstra Bilgiler
Şu anda Pentest sürecinde kimlik doğrulama bulunmamaktadır ve sonraki aşamada bunu ele alacağız.
Kimli bilgisi kullanılmıyor ve öncelik değerine ele geçirerek önceliği alıcam.
Görüldüğü gibi, öncelik değerleri ve kimlik doğrulama olmadığını belirtiyor.
Active Router görevini üstlenme ve başlangıç.
GLBP alttaki tiki attıktan ve 'GET IP' dedikten sonra, öncelik değeri olarak bizi devralmaya başlıyor.
İleri Seviyede GLBP Saldırısı
Normalde akması gereken trafik bu yöntemle üstümüzden geçirilmeli ve biz bunu önce üstümüzden, ardından alttan geçireceğiz.
Trafin ise böyle akmasını bekliyoruz.
Şimdi saldırgan makinede birkaç konfigürasyon yapmamız gerekecek.
Bunu yaptıktan sonra ise terminale geçip yönlendirme ve router ekleme işlemi yapalım.
Daha sonra hedef makineden bir telnet bağlantısı açıp trafik üstümüzden gidiyor mu gitmiyor mu kontrol edelim.
Daha sonra wireshark saldırgan makinede açalım kontrol edelim.
Görüldüğü gibi, sistemde birkaç saldırıyı birleştirerek böyle ileri seviyede bir saldırı senaryosu hazırlanabilir. Ancak bu anlatılan tekniklerin hiçbir şekilde kötü niyetli amaçlarla kullanılmaması gerektiğini ve yazarın bu konuda sorumlu olmadığını vurguluyoruz.
Alınması Gereken Güvenlik Önlemleri
Eğer şifreli bir kanal üzerinden iletişim sağlanmazsa, saldırgan kolayca ağ trafiğini kendi üzerinden geçirip hash, parola bilgileri gibi önemli verileri ele geçirebilir ve ağa karşı APT saldırıları düzenleyebilir.
Şimdi konfigürasyon moduna giriş yapalım ve yapıldıktan sonra Wireshark çıktısı ile alınan önlemleri kontrol edelim.
Şekildeki işaretli yerlere uygulanacak olan interfaceler.
Örnek bir router çıktısı ve conf. gösterimi.
Saldırı gerçekleştirdiğimizde, iletişimin md5 ile şifreli bir şekilde gerçekleştiğini hemen gördük.
Wireshark çıktısında 172.16.1.100 IP adresinin görünmemesi, herkesin güvenli bir şekilde şifreli kanaldan iletişim kurduğu anlamına gelir.
Diğer bir yöntem ise gelişmiş ACL list oluşturabilir.
Multicast 224.0.0.102
UDP/3222 kullanıyor.
Yukarıdaki bilgilere göre bir ACL list oluşturabilir.
Paket Yapısı
Last updated
