• Атаки обхода межсетевого экрана путем разбивки TCP-заголовка на мелкие смещения (Tiny Fragment Attack).
• Атаки перезаписи заголовков смежными фрагментами данных (Overlapping / Teardrop / Ping of Death).
• Зависание или повышенный расход памяти пула реассемблирования IP-фрагментов ядра.
• Обход L4-фильтров пакетами с флагом More Fragments (MF=1) и ненулевым смещением Fragment Offset.

1. Анатомия атак на базе фрагментации (RFC 1858 / RFC 3128)

Злоумышленник намеренно делит исходный IP-пакет так, чтобы первый фрагмент содержал только часть заголовка (без портов назначения TCP/UDP), а второй фрагмент перезаписывал данные при реассемблировании на целевом хосте, минуя правила фаервола.

2. Защита в Linux Iptables / Nftables

Принудительная проверка целостности фрагментов и дроп аномалий:

# Блокировка пакетов со смещением заголовка менее стандартного размера (Tiny Fragments)
iptables -A INPUT -f -p tcp --tcp-flags ALL NONE -j DROP
iptables -A FORWARD -f -m length --length 0:67 -j DROP

# Принудительная сборка и валидация фрагментов модулем conntrack
iptables -A PREROUTING -t raw -m rpfilter --invert -j DROP

# Nftables: Запрет некорректных смещений и мелких фрагментов
nft add rule inet filter forward ip frag-off & 0x1fff != 0 ip hdrlength < 5 drop

3. Защита в MikroTik RouterOS

/ip firewall filter
# Дроп недействительных фрагментированных пакетов
add chain=forward action=drop connection-state=invalid comment="Drop Invalid Fragmented Frames"

# Защита от перегрузки сборки фрагментов
/ip settings set ip-defrag=yes

4. Тюнинг параметров фрагментации ядра Linux через sysctl

Отредактируйте /etc/sysctl.d/99-fragmentation.conf:

# Максимальный объем памяти под фрагменты (байт)
net.ipv4.ipfrag_high_thresh = 4194304
net.ipv4.ipfrag_low_thresh = 3145728
# Время удержания несобранного фрагмента в памяти (секунды)
net.ipv4.ipfrag_time = 15

sysctl --system