Snooping IGMP: metodo di in­ter­cet­ta­zio­ne del traffico multicast

Le con­nes­sio­ni multicast rap­pre­sen­ta­no un’ottima op­por­tu­ni­tà per inoltrare a vari di­spo­si­ti­vi di ricezione il medesimo pacchetto dati all’interno di reti IP senza dover in­di­riz­za­re e fornire ciascuno di questi di­spo­si­ti­vi se­pa­ra­ta­men­te. Il mittente del pacchetto di­stri­bui­sce questa attività tra i diversi nodi delle sottoreti coinvolte ri­spar­mian­do così risorse preziose. So­prat­tut­to le ap­pli­ca­zio­ni Internet in tempo reale, uti­liz­za­te da numerosi utenti, traggono vantaggio da questa forma di con­nes­sio­ne mul­ti­pun­to, create con l’ausilio di speciali gruppi multicast.

Il pro­to­col­lo IGMP, che co­sti­tui­sce la base per un’efficace co­mu­ni­ca­zio­ne multicast IPv4 tra mittente, router e ri­ce­vi­to­ri, svolge un ruolo im­por­tan­te nell’or­ga­niz­za­zio­ne di questi gruppi. Inoltre il traffico multicast può essere filtrato tramite messaggi IGMP per de­con­ge­stio­na­re le singole reti di de­sti­na­zio­ne. Si parla anche in questo caso del co­sid­det­to Snooping IGMP.

I pacchetti multicast spesso passano at­tra­ver­so più nodi per rag­giun­ge­re gli host di de­sti­na­zio­ne. I router uti­liz­za­no inoltre la procedura Protocol In­de­pen­dent Multicast (PIM) per calcolare il percorso ottimale e tra­smet­te­re così il flusso di dati nel modo più ef­fi­cien­te possibile. Al contrario switch di rete o internet router mul­ti­fun­zio­ne dell’utenza domestica hanno chia­ra­men­te maggiori dif­fi­col­tà nella tra­smis­sio­ne di pacchetti multicast: il tentativo di associare i pacchetti come al solito in base all’indirizzo MAC spe­ci­fi­ca­to fallisce (funziona solo con le con­nes­sio­ni Unicast), e così, per mancanza di al­ter­na­ti­ve, i di­spo­si­ti­vi inoltrano i pacchetti in arrivo a tutti i di­spo­si­ti­vi di­spo­ni­bi­li nella ri­spet­ti­va sottorete.

È qui che entra in gioco lo Snooping IGMP (de­no­mi­na­to talvolta anche “Snooping Multicast”): questa procedura, che li­be­ra­men­te tradotta significa “captare IGMP”, rende onore al suo nome e in­ter­cet­ta tutto il traffico IGMP scambiato tra router multicast e host. Switch o internet router che hanno lo Snooping IGMP attivato, sono pertanto in grado di mo­ni­to­ra­re le attività multicast dei singoli utenti di rete. In par­ti­co­la­re ciò significa che i di­spo­si­ti­vi rilevano quando un host si associa a un gruppo multicast (“Multicast-Query”) oppure lo lascia (“Leave-Message”; solo da IGMPv2 in poi). Sulla base di queste in­for­ma­zio­ni può pertanto essere creata o rimossa nella tabella di indirizzi MAC una voce per l’in­ter­fac­cia di rete connessa all’host.

Lo Snooping Multicast aiuta switch e Internet router a fornire in modo par­ti­co­lar­men­te ef­fi­cien­te flussi di dati multicast alla de­sti­na­zio­ne o alle de­sti­na­zio­ni de­si­de­ra­te. Quanto sia prezioso questo supporto diventa chiaro quando manca un tale metodo di fil­trag­gio delle tra­smis­sio­ni mul­ti­pun­to: i pacchetti multicast in arrivo sono pertanto inviati a tutti gli host della rete raggiunti dallo switch o dall’Internet router. In par­ti­co­la­re nelle reti di maggiori di­men­sio­ni questa procedura provoca un traffico inu­til­men­te elevato, in grado di generare persino un so­vrac­ca­ri­co di rete. Gli hacker po­treb­be­ro ad­di­rit­tu­ra ap­pro­fit­ta­re della si­tua­zio­ne e in modo mirato inondare di pacchetti multicast singoli host o l’intera rete, per metterli in ginocchio come in un classico attacco DoS/DDoS.

Con lo Snooping IGMP attivato, i problemi di so­vrac­ca­ri­co e gli scenari di attacco non saranno più motivo di pre­oc­cu­pa­zio­ne. Tutti gli host di rete ricevono soltanto il traffico multicast cui si sono pre­ce­den­te­men­te re­gi­stra­ti con richiesta col­let­ti­va. L’uso di questa tec­no­lo­gia di “in­ter­cet­ta­zio­ne” è pertanto van­tag­gio­so in ogni si­tua­zio­ne in cui si ricorre ad ap­pli­ca­zio­ni che ri­chie­do­no una maggiore larghezza di banda. Ne sono un esempio il servizio IPTV e altri servizi di streaming, nonché le soluzioni per con­fe­ren­ze web. Le reti con pochi utenti e po­chis­si­mo traffico multicast non traggono invece vantaggio dalla procedura del fil­trag­gio. In tal caso anche se lo switch o il router offrono la funzione Snooping Multicast, la stessa dovrebbe essere di­sat­ti­va­ta per impedire inutili attività di in­ter­cet­ta­zio­ne.