IP LEAKING EN VERIZON HWICS 3G/4G
“IP Leaking” es un término conocido en el lenguaje de troubleshoot de tarjetas de tecnología celular en routers con tecnología celular con dispositivos como la tarjeta EHWIC-4G-LTE-V. IP leaking significa que existen IPs saliendo por la interfaz celular sin ser traducidas o “nateadas” generando un “IP Violation”. Un IP violation es cuando el proveedor de servicios ve que por radio sale tráfico a su red por medio de una IP que el proveedor de servicios no asigno al usuario o al dispositivo de red, lo que ocasiona que el ISP termine la sesión de datos.
Este problema es común al realizar el proceso de troubleshoot en la tarjeta. Normalmente se arregla con realizar la traducción NAT para la interfaz celular. Sin embargo, hay ocasiones que por diversos problemas como un Túnel o tráfico generado desde el Router, salen IPs sin ser Nateadas por la interfaz celular generando el IP violation y deteniendo el tráfico de datos.
Debido a que este tráfico es generado desde el router, no se puede filtrar por medio de un ACL, ya que las ACL filtran el tráfico que pasa a través del router, pero no el generado desde el.
La manera más sencilla de atacar este problema es con un PBR (Policy Based Routing):
Para tráfico que es generado desde el router como el de un servidor SNMP o un peer de NTP o cualquier otro tipo de tráfico desde el router, la manera más sencilla de detener el tráfico es con una regla global de PBR:
- •1) Definir una interfaz de loopback, todo el tráfico generado por el router pasará primero por la interfaz de Loopback de tal forma que podrá ser filtrado con un ACL.
int loopback 0
ip address 1.1.1.1 255.255.255.255
!
route-map LOCAL
set interface loopback 0
!
ip local policy route-map LOCAL
- •2) Definir un ACL para filtrar las IPs que estan saliendo de la interfaz celular, suponiendo que la IP sea la 12.2.2.2 se puede definir como:
ip access-list extended noIP
10 deny ip host 12.2.2.2 any
20 permit ip any any
!
Después aplicarla a la interface cellular:
int cellular0
ip access-group noIP out
El Segundo método para detener el tráfico por la interfaz celular puede ser con el PBR aplicado a la interfaz por donde están saliendo las IPs exclusivamente:
- •1) Definir las políticas para la interfaz, esto se hace con un routemap, para esto necesitamos definir tanto el ACL con el tráfico a filtrar como el route map:
ip access-list extended noIP
10 deny ip host 12.2.2.2 any
20 permit ip any any
!
route-map LOCAL
match ip address noIP
set default interface null0
!
Definir la política en la interfaz:
int celular 0
ip policy route-map LOCAL
- •2) Se puede comprobar el tráfico filtrado con:
show Access-list noIP
debug ip policy
