Cisco ルータへNTP monlistをためしてみた
昨年末からNTPのDDoSが問題になっている。
NTPのモニタリング機能のmonlistでのパケット増幅によるDDoS攻撃とのこと。
Cisco機器だと時刻同期にNTPを設定すると、勝手にNTP サーバになる機種がほとんど。（一部APとかルータを除く）
インターネット接続用にCisco1812Jを家では利用している。NTPサーバの設定には外部のNTPサーバ(福岡大学)を利用させて頂いている。
恥ずかしながらNTPに関してはフィルター設定は入れていない状態で運用中。
ご指摘がありましたので、NTPサーバはプロバイダー提供のサーバへ変更し
UDP/123 に関してACLを設定済み。(2014/06/30追記)
外部（グローバル）サーバからntpdcコマンドにて試験実施
$ntpdc -c monlist xxx.xxx.xxx.xxx
xxx.xxx.xxx.xxx: timed out, nothing receivedRequest timed out
その時にNTPに関してdebug実施
Feb 13 22:11:24: NTP: rcv packet from xxx.xxx.xxx.xxx to xxx.xxx.xxx.xxx on Dialer0:
Feb 13 22:11:24: leap 0, mode 7, version 2, stratum 0, ppoll 8
Feb 13 22:11:24: rtdel 0000 (0.000), rtdsp 0000 (0.000), refid 00000000 (0.0.0.0)
Feb 13 22:11:24: ref 00000000.00000000 (09:00:00.000 JST Mon Jan 1 1900)
Feb 13 22:11:24: org 00000000.00000000 (09:00:00.000 JST Mon Jan 1 1900)
Feb 13 22:11:24: rec 00000000.00000000 (09:00:00.000 JST Mon Jan 1 1900)
Feb 13 22:11:24: xmt 00000000.00000000 (09:00:00.000 JST Mon Jan 1 1900)
Feb 13 22:11:24: inp D6A742FC.E00EA47F (22:11:24.875 JST Thu Feb 13 2014)
Feb 13 22:11:24: NTP: Received NTP private mode packet. 7
Feb 13 22:11:24: NTP: Receive: dropping message: Received NTP private mode packet. 7
いちおう、IOSが12.4(15)T17のCisco1812JはNTP monlistには返答していない様子。
調べてみると
Cisco IOS Release 12.2(33)SXH7 よりも後のリリースでは、NTP モード 7 パケットは処理されません。
と記載あり。じゃ、それ以前のIOSは？？？（ちょっと怖い）
でも早く、フィルター設定を入れなくては。
Sorce Distが同じポート番号を使うプロトコルには困ったものだ…
めんどくさいがWindows端末のために、NTPプロトコルのみCBAC ( Context-Based Access Control )の設定を入れてます。
Cisco2600で試してみたのですが古いIOSも応答してない様子です。
(2014/06/30追記)
