IP Spoofing y BCP 38

RFC 2827 / BCP 38 propone filtrar en el borde paquetes con IP origen no asignada al cliente. RFC 3704 / BCP 84 extiende a redes multihomed.

uRPF strict en Cisco

interface GigabitEthernet0/1
 ip address 198.51.100.1 255.255.255.0
 ip verify unicast source
     reachable-via rx allow-default
!
! Bloquea bogons en ingress
access-list 100 deny ip 10.0.0.0 0.255.255.255 any
access-list 100 deny ip 127.0.0.0 0.255.255.255 any
access-list 100 deny ip 169.254.0.0 0.0.255.255 any
access-list 100 permit ip any any

Estado 2025: ~67% de ASes IPv4 sin iSAV (CAIDA Spoofer). El despliegue de BCP 38 sigue siendo el cuello de botella contra DDoS reflejados.