MSS: (DisableIPSourceRouting) IP-Quellrouting-Schutzebene (schützt vor Paketspoofing)
Der maschinenweite Registrierungswert vom Typ `REG_DWORD` steuert die Verarbeitung quellgerouteter IPv4-Pakete durch den Windows-TCP/IP-Stack.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\DisableIPSourceRouting
Der maschinenweite Registrierungswert vom Typ REG_DWORD steuert die Verarbeitung quellgerouteter IPv4-Pakete durch den Windows-TCP/IP-Stack. Beim Wert 2 verwirft Windows alle eingehenden IPv4-Pakete, deren IP-Optionen eine vom Absender vorgegebene Route enthalten. Das IP-Quellrouting ist damit vollständig deaktiviert.
Die Einstellung betrifft ausschließlich Pakete mit IP-Quellrouting. Sie deaktiviert weder die gewöhnliche IPv4-Kommunikation noch die allgemeine Weiterleitung von IP-Paketen zwischen Netzwerkschnittstellen.
Hinweise
Sicherheit
IP-Quellrouting ermöglicht es einem Absender, den vorgesehenen Netzwerkpfad eines Datagramms vorzugeben. Dies kann zur Verschleierung des tatsächlichen Übertragungswegs, für bestimmte Formen des Paketspoofings oder zur Umgehung von Netzwerkgrenzen ausgenutzt werden.
Das Verwerfen aller quellgerouteten Pakete verhindert, dass der lokale IPv4-Stack solche Routenvorgaben verarbeitet. Die Einstellung bietet jedoch keinen allgemeinen Schutz vor gefälschten Quelladressen und ersetzt keine Firewall- oder netzwerkseitigen Anti-Spoofing-Maßnahmen.
Mögliche Nebenwirkungen
Anwendungen, Diagnoseverfahren oder spezielle Netzwerkumgebungen, die absichtlich IPv4-Quellrouting verwenden, können den Computer mit entsprechend gekennzeichneten Paketen nicht mehr erreichen. Normale IPv4-Verbindungen ohne Quellrouting sind davon nicht betroffen.
Hinweise
Der Registrierungspfad unter Tcpip gilt für IPv4. Die entsprechende IPv6-Einstellung befindet sich unter HKLM\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\DisableIPSourceRouting und wird durch diesen Wert nicht geändert.
Microsoft dokumentiert, dass nach einer Änderung dieses Registrierungswerts ein Neustart erforderlich ist, damit sie wirksam wird.
Microsoft-Dokumentation
Microsoft Learn: Referenz zur Azure-Policy-Gastkonfigurationsbaseline für Windows
Microsoft Learn: Microsoft-Sicherheitsbulletin MS06-032