|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Alexey G Misyuremko 2:5020/400 26 Aug 2005 15:39:25
To : Alex Semenyaka
Subject : Re: Passive FTP
--------------------------------------------------------------------------------
Alex Semenyaka wrote:
> Hello Alexey!
>
> 26 Aug 05 01:15, you wrote to me:
>
> >> AM> разного и вкусного, даже пытался добавить (альтернативу synproxy
> >> AM> для борьбы с syn DDoS),
> >> А на каких принципах борьба?
> AM> утрированно
> AM> аналогично synproxy, только в ответ на syn от tcp клиента
> AM> ответить не syn+ack, а просто ack, чтобы заставить tcp клиента
> AM> послать еще один syn и вот его уже спокойно пропустить далее
> AM> до tcp сервера.
>
> Хм. Куча вопросов:
>
> 1) А по какой спецификации при получении ACK вместо SYN+ACK система должна
> отослать новый SYN? По-моему, она должна такой ACK полностью проигнорировать,
> а SYN перепослать по таймауту. То есть, можно ACK и не отсылать вообще.
Отсылкой ACK мы добьемся получения RST , от инициатора соединения
и новый SYN после "retransmition delay", который бум считать верифицированным
> 2) Hадо же помнить, какой SYN пришёл один раз, а какой - второй? То есть,
> требуется аллокировать память под полученные SYNы (как минимум, надо помнить
> пары сокетов, 12 байтов на SYN). DoS это откладывает, но не отменяет.
Да, именно так - такое решение требует памяти, и много, но экономит
на вычислениях
> 3) Если решение станет известным, то флудилки просто будут рождать пару-тройку
> одинаковых SYNов, и данная защита это пропустит.
А поэтому перед своим абзацем и написал - утрированно.
> 4) В Ethernet это может (из-за ARP) привести к задержкам в секунду-другую на
> установлении каждого TCP-соединения, что не всегда допустимо. Возможно,
> механизм нужно делать каким-то настраиваемым, например, с "белым списком"?
Варианов "экономии" при решения задачи защиты полно.
Hапример, если в сторону сервера "прет" 10syn-per-second
то IMHO сервер вполне это способен переварить и механимы отбивания от
SYNов можно не включать.
--
WBR, Alexey G Misyurenko ( MAG-RIPE | MMAGG-RIPN )
CTO of Caravan ISP http://www.caravan.ru
Phone: +7 095 3632252 Cell: +7 095 5082794
--- ifmail v.2.15dev5.3
* Origin: ISP Caravan(http://www.caravan.ru) News Server (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
