Ao implantar balanceadores de carga, gateways, firewalls ou roteadores em uma rede, Encaminhamento de IP desempenha um papel crucial no fluxo do tráfego. Mas essa flexibilidade traz consigo a responsabilidade — especialmente quando se trata de segurança.
Este artigo explica o que é encaminhamento de IP, como ele se comporta em diferentes cenários de balanceamento de carga (L4 vs L7) e quais práticas recomendadas de segurança devem ser seguidas, principalmente ao usar RELIANOID com múltiplas interfaces de rede.
O que é encaminhamento de IP? #
Encaminhamento de IP é a capacidade de um sistema (como um balanceador de carga baseado em Linux) de encaminhar pacotes de uma interface de rede para outra — roteando efetivamente pacotes que não são destinados à máquina local.
Habilitando o encaminhamento de IP no Linux #
Para habilitar temporariamente:
echo 1> / proc / sys / net / ipv4 / ip_forward
Para habilitar permanentemente:
# Editar /etc/sysctl.conf net.ipv4.ip_forward = 1 # Aplicar alterações sysctl -p
Desabilitando o encaminhamento de IP #
Para desabilitar temporariamente:
echo 0> / proc / sys / net / ipv4 / ip_forward
Para desabilitar permanentemente:
# Editar /etc/sysctl.conf net.ipv4.ip_forward = 0 # Aplicar alterações sysctl -p
Riscos de segurança que permitem o encaminhamento de IP #
Habilitar o encaminhamento de IP em balanceadores de carga (ou qualquer dispositivo de rede baseado em Linux) pode gerar problemas de segurança se não for configurado com cuidado. Veja aqui uma análise detalhada de quais são esses problemas e como mitigá-los.
Roteamento não intencional / acesso por backdoor #
Se o encaminhamento de IP estiver habilitado sem regras rígidas de firewall, seu sistema poderá rotear involuntariamente o tráfego entre interfaces (por exemplo, de interna para externa), agindo como uma ponte entre redes isoladas.
Falsificação de IP de origem #
Se o balanceador de carga encaminhar pacotes sem validar os endereços de origem, um invasor poderá falsificar IPs de origem, causando problemas com registro, limitação de taxa ou ignorando ACLs em sistemas de back-end.
Relé aberto para encaminhamento de pacotes #
Um sistema mal configurado pode encaminhar pacotes arbitrários entre interfaces, tornando o balanceador de carga um retransmissor de pacotes, utilizável em ataques de amplificação DDoS ou exfiltração de dados.
Exposição a ataques L3 (por exemplo, inundações SYN, ataques Smurf) #
Um balanceador de carga habilitado para encaminhamento pode ser usado em certos ataques de camada 3 ou 4, especialmente se não estiver protegido por limitação de taxa ou filtragem adequada.
Ignorando dispositivos de segurança #
Se o encaminhamento de IP rotear o tráfego contornando seu firewall ou IDS/IPS, o tráfego malicioso poderá ignorar a inspeção.
Como RELIANOID Utiliza encaminhamento de IP #
Ao RELIANOID Balanceador de carga está configurado com múltiplas interfaces de rede, o encaminhamento de IP é ativado por padrão. Isso permite que o sistema reduza os saltos de roteamento e selecione internamente o caminho mais curto para os backends, melhorando o desempenho em configurações NAT e multi-sub-redes.
Encaminhamento de IP: quando é necessário (e quando não é) #
| Modo Balanceador de Carga | Encaminhamento de IP necessário? |
| L4 (Camada de Transporte) | Obrigatório se VIP e backends estiverem em sub-redes diferentes (por exemplo, topologias NAT/DNAT) |
| L7 (Proxy HTTP/S) | Não é necessário, pois o proxy encerra e reinicia conexões por salto |
Melhores práticas de segurança quando o encaminhamento de IP deve ser habilitado #
Se sua infraestrutura exigir encaminhamento de IP, considere as seguintes estratégias de proteção:
Defina o roteamento de interfaces como não gerenciado em RELIANOID #
In Rede > Roteamento, mudar de Dirigido para Não gerenciado modo. Isso impede o gerenciamento interno da tabela de roteamento e a descoberta de caminhos laterais.
Use microssegmentação #
Defina regras explícitas de acesso de ponto a ponto usando firewalls ou grupos de segurança. Permita o tráfego apenas entre componentes autorizados (por exemplo, VIP ↔ backend).
Implementar marcação de VLAN #
Aplique a segmentação da Camada 2 usando VLANs para isolar caminhos de tráfego interno/externo e restringir o acesso no nível de hardware.
Embora o encaminhamento de IP possa ser necessário — especialmente para tráfego L4 ou configurações multiinterface — ele também apresenta riscos. Ao combinar RELIANOID'S Roteamento não gerenciado Com estratégias de segmentação de rede como VLANs e microssegmentação, as organizações podem obter desempenho e segurança robusta.
