【网络协议】网络协议系列十三 - 代理/CDN/网络安全

什么是代理?CDN的作用是什么?网络安全的攻防注意点有哪些?

一、代理

1.1. 代理服务器(Proxy Server

特点: 本身不生产内容,处于中间位置转发上下游的请求和响应。

  • 面向下游的客户端:它是服务器(正向代理)
  • 面向上游的服务器:它是客户端(反向代理)

1.1.1. 正向代理

代理的对象是客户端。

作用:

  • 隐藏客户端身份
    • 网络请求使用的是代理服务器IP,所以不会暴露客户端IP(但实际上是可以获取的,你懂得!!!)
  • 绕过防火墙(突破访问限制)
    • 比如经常使用的科学上网工具就是干这个的
  • Internet访问控制
    • 路由器设置指定服务器允许上网,其他客户端如果想要上网只能通过指定的服务器,而这台服务器通过判断客户端IP决定其是否能够交互数据,这台服务器就是代理服务器
  • 数据过滤
    • 代理服务器通过规则解析数据内容,决定数据是否过滤
  • ……

免费的正向代理:https://ip.jiangxianli.com、https://www.kuaidaili.com/free/inha

1.1.2. 反向代理

代理的对象是服务器。

作用:

  • 隐藏服务器身份
  • 安全防护
  • 负载均衡
  • ……

上图中的负载均衡服务器就是一个反向代理,为服务器服务的。当用户访问指定服务器时,数据会通过负载均衡服务器进行转发。这样不仅可以隐藏真实服务器的身份,还能通过一些算法让服务器稳定运行。

1.1.3. 代理服务器相关的头部字段

Via:追加经过的每一台代理服务器的主机名(或域名)
X-Forwarded-For:追加请求方的IP地址
X-Real-IP:客户端的真实IP地址


Via:代理1
X-Forwarded-For:14.14.14.14
X-Real-IP:14.14.14.14


Via:代理1、代理2
X-Forwarded-For:14.14.14.14、220.11.11.11
X-Real-IP:14.14.14.14


Via:代理2


Via:代理2、代理1

1.2. 抓包工具的原理

Fiddler、Charles等抓包工具的原理:在客户端启动了正向代理服务。

Wireshark不是代理,它的原理是:通过底层驱动,拦截网卡上流过的数据。

二、CDN

CDN(Content Delivery Network 或 Content Distribution Network),译为:内容分发网络。

作用: 利用最靠近每位用户的服务器,更快更可靠的将音乐、图片、视频等资源文件(一般是静态资源)传递给用户。

CDN出现之前,所有的内容都是从一台服务器取:

CDN出现之后,内容就从距离用户最近的一台服务器取:

对比:

CDN运营商在全国、乃至全球的各大枢纽城市都建立了机房。部署了大量拥有高存储高带宽的节点,构建了一个跨运营商、跨地域的专用网络。内容所有者向CDN运营商支付费用,CDN将其内容交付给最终用户。

举例,使用CDN引入jQuery:

1
2
3
4
5
6
<script src="https://cdn.bootcdn.net/ajax/libs/jquery/3.5.1/jquery.min.js"></script>
<script>
$(() => {
$(document.body).css('background', '#f00')
})
</script>

不是域名包含CDN就是CDN服务器。

三、网络安全

网络通信中面临的4种安全威胁:

截获:窃听通信内容
中断:中断网络通信
篡改:篡改通信内容
伪造:伪造通信内容

3.1. 网络层-ARP欺骗

ARP欺骗(ARP spoofing),又称ARP毒化(ARP poisoning)、ARP病毒、ARP攻击。

ARP欺骗可以造成的效果:

  • 可让攻击者获取局域网上的数据包甚至可篡改数据包
  • 可让网络上特定电脑之间无法正常通信(例如网络执法官这样的软件)
  • 让送至特定IP地址的流量被错误送到攻击者所取代的地方
  • ……

ARP欺骗核心步骤举例:

  • 假设主机C是攻击者,主机A、B是被攻击者
  • C只要收到过A、B发送的ARP请求,就会拥有A、B的IP、MAC地址,就可以进行欺骗活动
  • C发送一个ARP响应给B,把响应包里的源IP设为A的IP地址,源MAC设为C的MAC地址
  • B收到ARP响应后,更新它的ARP表,把A的MAC地址(IP_A、MAC_A)改为(IP_A、MAC_C)
  • 当B要发送数据包给A时,它根据ARP表来封装数据包的头部,把目标MAC地址设为MAC_C、而非MAC_A
  • 当交换机收到B发送给A的数据包时,根据此包的目标MAC地址(MAC_C)而把数据包转发给C
  • C收到数据包后,可以把它存起来后再发送给A,达到窃听效果。C也可以篡改数据后才发送数据包给A

ARP欺骗的防护

  • 使用静态ARP
  • 借助DHCP Snooping
    • 网络设备可借由DHCP保留网络上各电脑的MAC地址,在伪造的ARP数据包发出时即可侦测到
  • 利用一些软件监听ARP的不正常变动
  • ……

3.2. DoS、DDoS

DoS攻击(拒绝服务攻击,Denial-of-Service attack),使目标电脑的网络或系统资源耗尽,使服务暂时中断或停止,导致其正常用户无法访问。

Dos攻击可以分为2大类:

  • 带宽消耗型:UDP洪水攻击、ICMP洪水攻击
    • 不断向服务器使用UDP或ICMP传输数据,占满其带宽,导致服务器访问过载直至宕机。
  • 资源消耗型:SYN洪水攻击、LAND攻击

DDoS(分布式拒绝服务攻击,Distributed Denial-of-Service attack)。黑客使用网络上两个或以上被攻击的电脑作为“僵尸”向特定的目标发动DoS攻击。

2018年3月,GitHub遭到迄今为止规模最大的DDoS攻击。

3.2.1. 传输层-SYN洪水攻击

SYN洪水攻击(SYN flooding attack)。攻击者发送一系列的SYN请求到目标,然后让目标因收不到ACK(第3次握手)而进行等待,消耗资源。

攻击方法:

  • 跳过发送最后的ACK信息
  • 修改源IP地址,让目标送SYN-ACK到伪造的IP地址,因此目标永不可能收到ACK(第3次握手)

防护:参考RFC_4987

3.2.2. 传输层-LAND攻击

LAND攻击(局域网拒接服务攻击,Local Area Network Denial attack)。通过持续发送相同源地址和目标地址的欺骗数据包,使目标视图与自己建立连接,消耗系统资源直至崩溃。

有些系统存在设计上的缺陷,允许设备接受并响应来自网络、却宣称来自于设备自身的数据包,导致循环应答。

防护:

  • 大多数防火墙都能拦截类似的攻击包,以保护系统
  • 部分操作系统通过发布安全补丁修复了这一漏洞
  • 路由器应同时配置上行与下行筛选器,屏蔽所有源地址与目标地址相同的数据包

3.3. DoS、DDoS防御

防御方式通常为:入侵检测、流量过滤、多重验证。堵塞网络带宽的流量将被过滤,而正常的流量可正常通过。

防火墙:防火墙可以设置规则,例如允许或拒绝特定通讯协议,端口或IP地址。

  • 当攻击从少数不正常的IP地址发出时,可以简单的使用拒绝规则阻止一切从攻击源IP发出的通信
  • 复杂攻击难以用简单规则来阻止,例如80端口遭受攻击时不可能拒绝端口所有的通信,因为同时会阻止合法流量
  • 防火墙可能处于网络架构中过后的位置,路由器可能在恶意流量达到防火墙前即被攻击影响

交换机:大多数交换机有一定的速度限制和访问控制能力。

路由器:和交换机类似,路由器也有一定的速度限制和访问控制能力。

黑洞引导:将所有受攻击计算机的通信全部发送至一个“黑洞”(空接口或不存在的计算机地址)或者有足够能力处理洪流的网络设备商,以避免网络受到较大影响。

流量清洗:当流量被送到DDoS防护清洗中心时,通过采用抗DDoS软件处理,将正常流量和恶意流量区分开。正常的流量则回注回客户网站。

3.4. 应用层-DNS劫持

DNS劫持,又称为域名劫持。攻击者篡改了某个域名的解析结果,使得指向该域名的IP变成了另一个IP。导致对应网址的访问被劫持到另一个不可达的或者假冒的网址。从而实现非法窃取用户信息或者破坏正常网络服务的目的。

为防止DNS劫持,可以考虑使用更靠谱的DNS服务器,比如:114.114.114.114

  • 谷歌:8.8.8.88.8.4.4
  • 微软:4.2.2.14.2.2.2
  • 百度:180.76.76.76
  • 阿里:223.5.5.5223.6.6.6

3.5. 应用层-HTTP劫持

HTTP劫持是对HTTP数据包进行拦截处理,比如插入JS代码。

最常见的是在访问某些网站时,在右下角多了个莫名其妙的弹窗广告。

3.6. HTTP协议的安全问题

HTTP协议默认是采用明文传输的,因此会有很大的安全隐患。常见的提高安全性的方法是:对通信内容进行加密后,再进行传输。

常见的加密方式:

  • 不可逆
    • 单向散列函数:MD5、SHA等
  • 可逆
    • 对称加密:DES、3DES、AES等
    • 非对称加密:RSA等
  • 其他
    • 混合密码系统
    • 数字签名
    • 证书

常见英文:encrypt(加密)、decrypt(解密)、plaintext(明文)、ciphertext(密文)。

3.7. 如何防止被窃听?

为了便于区分,设计4个虚拟人物:
Alice、Bob:相互通信
Eve:窃听者
Mallory:主动攻击者

加密:

常见的加解密地址:
MD5加密:https://www.cmd5.com/hash.aspx
MD5解密:https://www.cmd5.com
其他加密:https://www.sojson.com/encrypt_des.html、https://tool.chinaz.com/tools/md5.aspx

3.8. 单向散列函数(One-way hash function

单向散列函数,可以根据消息内容计算出散列值。

单向散列函数也被称为:消息摘要函数(message digest function)、哈希函数(hash function)。

输出的散列值也被称为:消息摘要(message digest)、指纹(fingerprint

散列值的长度和消息的长度无关,无论消息是1bit、10M、100G,单向散列函数都会计算出固定长度的散列值。

特点:

  • 根据任意长度的消息,计算出固定长度的散列值
  • 计算速度快,能快速计算出散列值
  • 消息不同,散列值也不同
  • 具备单向性

3.8.1. 常见的几种单向散列函数

  • MD4、MD5
    • 产生128bit的散列值,MD就是Message Digest的缩写,目前已经不安全
  • SHA-1
    • 产生168bit的散列值,目前已经不安全
  • SHA-2
    • SHA-256、SHA-384、SHA-512,散列值长度分别是256bit、384bit、512bit
  • SHA-3
    • 全新标准

3.8.2. 如何防止数据被篡改?

  1. 如何确保两个文件是一样的?

  2. 原始做法就是拷贝一份进行比较(非常笨重)。

  3. 计算比较散列值(推荐)。

在下载软件的时候,有些网站就会提供软件包的哈希值(比如:IDEA),防止软件包被非法篡改,我们就可以在镜像网站(速度快)下载安装包后计算出哈希值,然后和官方软件包的哈希值做比较,以确保软件完整性。