|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Victor Krapivin 2:5080/1003 02 Feb 2006 01:43:02
To : Ilya Anfimov
Subject : Re:выбоp linux
--------------------------------------------------------------------------------
> Это Вы, Виктор, не в теме. Hе пойму только -- Вы таки не прочли
> тот HOWTO по netfilter (который таки позволяет, штатно, писать
Отмотка треда - по таксе.
> фильтры пакетов), купились на красивую рекламу о крутости
А если бы ты меньше брызгал слюной, то с интересом узнал бы, что
обсуждаемый оффтопичный TDI никаким боком к *пакетам* не относится. И
следовательно, окромя тебя никто про *пакетный фильтр* не интересуется.
Доступно объясняю? 8-)
А относится разговор - исключительно к ТэЦэПэ-шным коннектам.
NTSTATUS connectTdiHook(PDEVICE_OBJECT hookDevice, PIRP Irp)
{
PIO_STACK_LOCATION cIrpStack = IoGetCurrentIrpStackLocation(Irp);
PTDI_REQUEST_KERNEL_CONNECT param =
(PTDI_REQUEST_KERNEL_CONNECT)(&cIrpStack->Parameters);
TA_ADDRESS *remote_addr = ((TRANSPORT_ADDRESS
*)(param->RequestConnectionInformation->RemoteAddress))->Address;
long raddr = ((TDI_ADDRESS_IP *)(remote_addr->Address))->in_addr;
int rport = ((TDI_ADDRESS_IP *)(remote_addr->Address))->sin_port;
NTSTATUS ask = -1;
if(/*Вася пупкин*/ ... && rport == htons(25) /*отсылает спам */ &&
/* текущий процесс - не MS Outlook */ ... ){
Irp->IoStatus.Status = STATUS_CONNECTION_REFUSED;
Irp->IoStatus.Information = 0;
IoCompleteRequest(Irp, IO_NO_INCREMENT);
return STATUS_CONNECTION_REFUSED;
}
return ask;
}
...
case TDI_CONNECT:
return connectTdiHook(...);
...
case TDI_LISTEN:
case TDI_ACCEPT:
case TDI_ASSOCIATE_ADDRESS:
case TDI_DISASSOCIATE_ADDRESS:
...
Hу и где тут *пакеты*?
А теперь представь - что фильтры бывают не только для пакетов.
Представил? Как прочувствуешь окончательно - поймешь, почему в линухе
netfilter на все случаи один (про старье не надо), и другого не
предвидится 8-)
Вот ребятки, ориентированные на SElinux - идут в правильном направлении,
с интересом смотрю на их деятельность. Если вдруг появится вменяемый
дистрибутив с политиками для хотя бы основных пакетов - это будет очень
суровый шаг вперед.
> архитекторов в мсдн-е или всего лишь прётесь с мысли писать
> фаерволлы, которые неприменимы на роутерах.
Батенька, фильтры на роутерах мне давно неинтересны. Они давно написаны,
и интересного мне нового функционала предложить неспособны. Вообще
будущее роутеров - это спецжелезки (что там внутри - мне по большому
счету будет пофиг).
> Вообще, красиво звучит, конечно. Вы можете написать свой
> фильтр всего за неделю! Блин, в линуксе за неделю можно tcp-
> ip стэк наизнанку вывернуть.
И куда потом денешь результат, в мусорку? 8-)
--
Viktor
--- ifmail v.2.15dev5
* Origin: Zaval CE (2:5080/1003@fidonet)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
