web-dev-qa-db-ja.com

カスケードされたルーターは、外部ネットワークからの攻撃者から内部ネットワークのマシンを保護できますか？

与えられた：

  • 外部ネットワーク
    • ルータA
      • wan ip 209.123.12.11
      • アドレス10.10.0.1
    • マシンA
      • アドレス10.10.0.10
      • ゲートウェイ10.10.0.1
  • 内部ネットワーク
    • ルータB
      • wan ip 10.10.0.100
      • アドレス192.168.10.1
    • マシンB
      • アドレス192.168.10.10
      • ゲートウェイ192.168.10.1

既知：

  • マシンBはマシンAにアクセスできます
  • マシンAはマシンBにアクセスできません（間違っている場合は修正してください）

質問：

  • マシンAがハッキングされ、ハッカーがスニファを10.0.0.100に配置した場合。マシンBはまだ「保護」されていますか？たとえば、マシンBのユーザーがHTTPSなしでWebページにアクセスしてログインした場合、スニファーはトラフィックをキャプチャできますか？
  • 保護されていない場合、インフラストラクチャの変更に関するアドバイスはありますか？
httpsnifferroutersslstripinsider-threats
2
developer.cyrus

「ルーター」とは、これらがそれぞれ「ルーター/ NAT /ファイアウォール」の組み合わせアプライアンスであることを意味していると思います。ほとんどのホームルーターにはファイアウォール機能が含まれています。ファイアウォール機能は、ここに依存している可能性が高いです。 （NATは接続共有テクノロジーですが、防御メカニズムではないことに注意してください。）

質問に直接答えるために、ハッカーが最初のルーターAに侵入した場合、答えは「はい」です。彼はマシンAにネットワーク監視ソフトウェア（wiresharkなど）をインストールできます。その場合、マシンAへのトラフィックを監視するためのオプションがいくつかあります。

  • 彼はすべてのLANトラフィックをマシンAが配置されているハードウェアポートにミラ​​ーリングするようにルーターAを再構成できます（ネットワーク監視デバイスをインストールするときの一般的なタスク。多くのルーターとスイッチがこれをサポートしています）。

  • ルーターAをハブのように再構成して、すべてのLANネットワークトラフィックをすべてのポートに自動的にミラーリングすることができます（一部の安価なコンシューマールーターでは可能性があります）。

  • ルーターとして機能するようにマシンAを構成できます。ルータBがDHCP経由で外部アドレスを取得していると仮定すると、彼はゲートウェイが10.10.0.10（マシンAのアドレス）であると応答できます。これにより、ネットワークBからのすべてのトラフィックがマシンAを経由してルーティングされます。監視の対象となる場所。

これにより、攻撃者は暗号化されていないトラフィックを監視できるようになります。しかし、それでも彼はhttps/TLS/SSL暗号化ストリームのコンテンツを復号化することはできません。また、ルーターB内のLANトラフィックを見ることができないため、マシンBから192.168.10上の別のプリンターに印刷している場合は、ネットワーク、彼はそれをキャプチャすることができないでしょう。 （少なくとも、ルーターBに侵入することなしには。）

3
John Deters