伪造源地址攻击的常见现象与快速诊断方法

先介绍一个典型的攻击场景——伪造源地址攻击。攻击者掌控了局域网内的一台主机，然后利用该主机疯狂向外发送伪造了源IP地址的TCP SYN报文。安全网关会为每个请求逐一创建NAT会话，当伪造报文数量过多时，NAT会话表会迅速被填满。一旦表空间耗尽，正常用户的连接请求就无法建立，导致整个局域网所有用户都无法上网。

判断是否遭受此类攻击并不复杂。登录安全网关的Web管理界面，依次进入系统状态 – NAT统计 – NAT状态页面，在“IP地址”一栏中如果出现大量不属于本内网网段的IP地址，基本可以确定有人在冒充身份发起攻击。

另一个直观的判断方法是：在WebUI → 系统状态 → 用户统计 → 用户统计信息页面，检查是否有某个IP（例如192.168.0.67/24）向外发送了大量数据包，但安全网关发给它的数据包却极少。这种严重的收发数据包不对称现象，强烈暗示该可疑主机很可能在发起伪造源地址攻击。

解决方案与防攻击配置方法

发现问题后，解决思路分为两步：一是立即断网查杀，二是通过配置从根源上防范。

第一步，物理上将受感染的主机从内网断开，然后进行全盘病毒查杀，彻底清除恶意程序。

第二步，在安全网关上配置策略，核心思路是只允许来自内网合法网段的地址发起连接。这样，伪造的源IP地址自然会被网关拒绝，假冒的TCP连接也就无法建立。

具体配置操作如下：

1) 打开WebUI → 高级配置 → 组管理，创建一个新的工作组（可命名为“all”或其他名称）。该工作组需要包含整个内网网段的所有IP地址，例如内网为192.168.0.0/24，则填写192.168.0.1到192.168.0.254。务必确认填写的是实际使用的IP地址段，否则策略将失效。

2) 完成组设置后，进入WebUI → 高级配置 → 业务管理 → 业务策略配置，新建一个业务策略（例如命名为“permit”）。该策略设置为：允许刚才创建的“all工作组”访问任何目标地址（0.0.0.1到255.255.255.255）。按图配置后保存生效即可。

配置完成后，伪造源地址的攻击报文会被安全网关直接丢弃，NAT会话表也能恢复正常。此后只需关注内网机器的安全状态，防止同类问题再次发生。