通過IP限制對網站的訪問

通過IP限制對網站的訪問安全嗎？通過IP限制對網站的訪問

我知道有一種叫做「IP欺騙」的東西 - 這是否意味着（在某些情況下）IP限制不準確？

來源

2010-11-20 Yaron Naveh

如果客戶端僞造其源IP地址，那麼establish a TCP connection將非常困難，因爲在下面的註釋中提到的@cdhowie，客戶端需要確認服務器的SYN + ACK迴應，它永遠不會收到。

欺騙性IP地址對denial of service攻擊最爲危險，因爲攻擊者不會在意接收對攻擊數據包的響應，而且由於每個欺騙數據包似乎都來自不同的地址，所以它們將更難以過濾。

來源

2010-11-20 20:38:48

但攻擊者可以調用服務上的方法（即使他看不到響應） – 2010-11-20 20:42:54

@Yaron：不是基於TCP的協議（如HTTP）。要啓動連接，客戶端需要回復：http://en.wikipedia.org/wiki/Three_way_handshake#Connection_establishment – 2010-11-20 20:48:55

@Yaron：不太可能。爲了甚至建立TCP連接，欺騙者需要確認服務器的SYN + ACK。他需要確認在SYN + ACK數據包中發送的特定的32位序列號，而這是他永遠不會收到的。只要他試圖攻擊的主機挑選足夠隨機的初始序列號，這種攻擊就不實際。 – cdhowie 2010-11-20 20:50:45

不是。首先，你需要限制所有的代理，纔能有效。更重要的是，你可能會阻止像這樣的合法用戶。它可以成爲一些慢性問題的快速解決方案，但總的來說它並不像看起來那麼有效。

來源

2010-11-20 20:38:28

那白名單呢？ – 2010-11-20 20:43:22

對於白名單，它更有效，因爲攻擊者無法欺騙互聯網上的所有路由器。如果攻擊者欺騙IP，則響應不會回到攻擊者身上，除非攻擊者與合法用戶位於同一個子網中，並且他們的PC已關閉或者他控制了中間的某個路由器。也許我的意思是說 - 如果你不使用端到端的加密，你必須相信其中的某個人。 – 2010-11-20 20:50:37

IP欺騙主要是局域網上可能發生的。在我看來，不可能限制每個IP訪問網站。我寧願考慮應用一些證書/認證方法。

Here就是一個例子。閱讀一些理論here

來源

2010-11-20 20:46:18

通過IP限制對網站的訪問

回答

相關問題