Alamat IP yang setara dengan / dev / null

Apakah ada alamat IP yang akan menghasilkan paket yang dikirim untuk diabaikan (dihitamkan)?

Saya tahu saya selalu dapat mengatur router dengan alamat IP dan kemudian hanya mengabaikan semua paket yang dikirim ke sana, tetapi apakah hal seperti itu ada untuk menyelamatkan saya dari masalah?

Ada secara khusus awalan blackhole di IPV6, seperti yang dijelaskan dalam RFC 6666 , ini 100 :: / 64. IP4 tidak memiliki lubang hitam eksplisit seperti itu, tetapi host yang tidak ada di salah satu blok yang dipesan akan memiliki efek itu. (misalnya, 240.0.0.0/4/4 "dicadangkan untuk penggunaan di masa mendatang" dan tidak akan dialihkan oleh apa pun.)

Ada yang namanya jaringan Black hole .

Jika tidak ada perangkat di jaringan dengan alamat IP 192.168.0.10, maka alamat IP ini semacam lubang hitam dan akan "membuang" semua lalu lintas ke sana, hanya karena tidak ada.

Protokol yang melacak status koneksi (TCP) dapat mendeteksi host tujuan yang hilang. Itu tidak akan terjadi dengan UDP dan paket hanya akan mati sementara host pengirim tidak akan diberitahu tentang itu.

Anda dapat mengatur lubang hitam dengan firewall dengan mengaturnya untuk secara diam - diam menjatuhkan paket ( tidak menolak ) dari alamat tertentu (atau banyak).

Sejauh yang saya tahu tidak ada alamat standar jaringan yang akan melakukan black hole untuk Anda dalam TCP / IP versi 4 (Terima kasih kepada Bandrami ).

Jadi, Anda memiliki dua opsi:

1. Alamat IP yang tidak ditugaskan ke host mana pun;
2. Host dengan firewall yang diam-diam menjatuhkan paket atau variasi, misalnya menggunakan netcat: (seperti yang disarankan oleh ultrasawblade ).

nc -vv -l 25 > /dev/nullakan mendengarkan koneksi masuk pada port TCP 25 dan mengirimkan hasilnya /dev/null. Lebih banyak contoh di sini .

Seluruh subnet juga bisa menjadi lubang hitam ( Null route ).

Meskipun ini bukan black-hole, Anda mungkin juga ingin mempertimbangkan IP yang disisihkan untuk tujuan pengujian / contoh (oleh RFC 5737) , terutama jika tujuan Anda adalah nilai "default tidak aman yang tidak berfungsi".

• 192.0.2.0/24 (TEST-NET-1),
• 198.51.100.0/24 (TEST-NET-2)
• 203.0.113.0/24 (TEST-NET-3)

Operator jaringan HARUS menambahkan blok alamat ini ke daftar ruang alamat yang tidak bisa dilalui, dan jika filter paket digunakan, maka blok alamat ini HARUS ditambahkan ke filter paket.

Tidak ada jaminan bahwa paket-paket ke alamat-alamat itu akan diblokir (itu tergantung pada ISP Anda, dll.) Tetapi tentunya tidak seorang pun harus sudah menggunakannya.

Tidak ada "alamat lubang hitam standar" seperti itu, juga tidak ada persyaratan untuk itu. Anda tidak mengatakan apa yang sebenarnya ingin Anda capai, jadi saya tidak dapat membantu Anda melakukannya, tetapi di sini ada beberapa solusi yang salah untuk masalah Anda yang akan menjawab pertanyaan Anda saat Anda bertanya:

• Anda dapat menggunakan alamat RFC1918 yang tidak digunakan di jaringan Anda dan bergantung pada ISP Anda untuk menjatuhkannya untuk Anda. Misalnya, jika Anda hanya menggunakan beberapa bagian 192.168, 10.255.255.1 akan dialihkan dari ISP Anda (yang akan mendapatkannya berkat gateway default Anda).
• Anda dapat menggunakan alamat IP yang dicadangkan untuk penggunaan di masa mendatang (dan mungkin tidak akan pernah digunakan); itulah kisaran " Kelas E " lama. Ini akan melakukan hal yang sama seperti di atas, tetapi akan bekerja bahkan jika Anda sudah menggunakan semua rentang alamat pribadi (dengan memiliki netmask yang jauh lebih luas dari yang diperlukan, saya ragu Anda akan memiliki jutaan perangkat yang terpasang). Misalnya, 254.0.0.1 tidak akan pernah (secara hukum) merujuk ke perangkat nyata.
• Di mesin tempat Anda membutuhkan ini, Anda bisa menambahkan target drop-only; menggunakan alamat yang tidak digunakan seperti di atas, misalnya, iptables -I OUTPUT -d 254.0.0.0/8 -j DROPakan memastikan apa pun yang dikirim ke "jaringan" itu akan dijatuhkan secara diam-diam alih-alih mengganggu gateway, atau bahkan menyebabkan lalu lintas di antarmuka jaringan yang sebenarnya.

Sekali lagi, Anda mungkin tidak benar-benar menginginkan semua ini, bahkan jika Anda merasa nyaman - tidak, itu membingungkan dan tidak jelas dan bukan solusi yang baik untuk apa pun masalah Anda sebenarnya.

Sisi melangkah pertanyaan Anda, bagaimana dengan menggunakan "membuang protokol" ?

Rentang Tes

Saya mungkin akan menyarankan salah satu rentang alamat "TEST-NET", "untuk digunakan dalam dokumentasi dan contoh. Seharusnya tidak digunakan untuk umum" .

192.0.2.0/24
198.51.100.0/24
203.0.113.0/24

Rentang "Bogon" (Palsu / Palsu)

Saya tidak yakin di mana mengatakan di sini, ini tampaknya lebih merupakan praktik yang akan disediakan gateway Internet, daripada cara spesifik untuk mengimplementasikan paket yang dialihkan ke suatu tempat ia tidak boleh

Kisaran Lokal

Ada juga rentang alamat loopback 127.0.0.0/8,, mis 127.0.0.255. Meskipun masih mungkin untuk hal-hal yang ada di sana, khususnya layanan pada mesin lokal, setidaknya Anda tidak akan mengganggu mesin di jaringan (kecuali jika Anda memiliki layanan jaringan yang didukung oleh layanan jaringan lain saya kira).

127.0.0.0/8

Rentang Tujuan Ilegal

Mungkin alamat ilegal 0.0.0.0juga dapat digunakan, meskipun 0.0.0.0/8 dicadangkan untuk "Digunakan untuk pesan siaran ke saat ini (" ini ")" sehingga ada risiko penyiaran tentang itu.

0.0.0.0/8

Halaman Wikipedia untuk Null Route menyatakan:

Rute kosong biasanya dikonfigurasikan dengan flag rute khusus, tetapi juga dapat diimplementasikan dengan meneruskan paket ke alamat IP ilegal seperti 0.0.0.0, atau alamat loopback.

Rujukan: https://en.wikipedia.org/wiki/Reserved_IP_addresses

Satu hal yang perlu dipertimbangkan (yang mungkin atau mungkin tidak menjadi masalah untuk skenario khusus Anda) adalah bahwa jika Anda mengarahkan lalu lintas ke alamat IP yang tidak ada, router dan / atau host dapat mencoba untuk terus menerus ARP untuk alamat itu, yang bisa menjadi hal yang buruk.

Jika Anda mengkonfigurasi ARP statis <-> IP binding untuk alamat phantom ini, maka sistem akan selalu memiliki entri ARP yang diselesaikan, dan itu hanya akan menempatkan paket pada kawat dengan alamat ARP (yang, dianggap, adalah palsu) dan lalu lintas tidak akan benar-benar mendarat di mana pun.

Sekali lagi, ini mungkin BUKAN apa yang sebenarnya Anda inginkan, tetapi patut dipertimbangkan.