软交换网络中接入层设备IP地址冲突现象分析

简要介绍IP网络中Ping to death攻击的基本现象；对软交换网络接入层设备进行描述，重点对软交换网络中接入层设备IP地址冲突现象和原因进行分析，同时对IP地址的分配提出建议。
关键词：Ping   ARP协议   MAC    MGCP  H.248
1 引言
随着软交换核心网络的稳定运行和AG等接入层设备的大规模部署，IP网络攻击的潜在风险将逐步显现出来。
模拟IP网络中的攻击场景，对软交换网络中接入层设备IP地址冲突现象和原因进行分析，将有助于积累故障判断的经验，对IP地址分配提供合理建议。
2 Ping to death的攻击
常见的IP网络攻击手段有：Ping、弱口令、暴力破解、溢出、嗅探等多种方法，其中：Ping是一种容易被掌握的攻击手段。
“Ping”是通过发送ICMP报文(类型8、代码0)探寻网络主机是否存在的工具。在操作系统不能很好处理大量Ping包的前提下，出现了Ping to Death的攻击方式（通过大量Ping包实现堵塞对方网络的目的）。
我们可以通过搭建测试环境，来了解“Ping to Death”的攻击场景。
假设：（1）局域网中有9台PC主机（分别命名A、B、C、D、E、F、G、H、I），每台主机的配置为：PIII-800M,集成网卡，操作系统为WIN98。（2）9台主机通过一台24口HUB实现星型组网，网络结构如图1所示：

图1：Ping to Death攻击网络测试环境
具体测试过程如下：
（1）在主机A、B、C、D、E、F、G、H上执行COMMAND命令 ping 10.0.0.1 –l 65500 –t .其中-l参数的为ping的数据包长度为65500字节，-t参数为一直ping.
（2）在主机A、B、C、D、E、F、G、H的COMMAND窗口就分别能看到：
  Reply  from  10.0.0.1:  bytes=65500  time<10ms  TTL=128
      Reply  from  10.0.0.1:  bytes=65500  time<10ms  TTL=128
      Reply  from  10.0.0.1:  bytes=65500  time<10ms  TTL=128
（3）接下来就会发现“time“这个参数的值在慢慢变大。几分钟之后，主机I会重新启动。
随着对主机设备的操作系统和计算机硬件进行升级，已经能够很好地处理大量Ping包这种攻击方式。但是，仍然可以利用TCP/IP协议的其他特性或者网络拓扑结构的缺陷，通过发送特定数据包的方式扩大攻击力度，从而对网络系统造成不好的影响。
对于目前广泛应用的软交换网络接入层设备而言，Ping to Death的攻击已经不再是一种致命的威胁，“IP地址冲突”成为了常见的故障原因。
3 软交换网络中接入层设备IP地址冲突分析
3.1 接入层设备协议分析
在软交换网络中，媒体网关控制设备（媒体网关控制器/软交换设备）和相应的媒体处理设备（网关/媒体服务器等）之间的通信协议如图2所示：

图2：协议在网络中的位置
MGCP（媒体网关控制协议）既是一种命令定义，又是一种信令定义。MGCP 的命令和响应定义为IP 包，这样MGCP 可独立于底层承载系统。MGCP 消息在UDP/IP 上传递，传输层协议为UDP，网络层协议为IP。
H.248 协议定义的协议消息可以在UDP 上传输，也可以在TCP上传输。如果协议消息采用文本方式编码，则缺省端口号为2944；如果协议消息采用二进制方式编码，则缺省端口号为2945。响应消息必须发送到相应的命令发起方使用的地址和端口。