|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Alexey G Misyuremko 2:5020/400 24 Aug 2005 14:36:12
To : Viktor
Subject : Re: Passive FTP
--------------------------------------------------------------------------------
>> V> Каким образом? Количество keep state зашкалит? Смотря как применять.
>> V> Обычно делают или ограничение на количество коннектов с одного IP
>>
>> Многие черви используют рандомный и source IP и destination IP. Или
>> перебирают все source IP из локальной сети.
>
>
> Если Source IP случайный - это разве state получиться? Для TCP IMHO нет.
> Разве state устанавливается не после "рукопожатия"?
нет.
Вот набор состояний tcp соединения
tcp.first,tcp.opening,tcp.established,tcp.closing,tcp.finwait,tcp.closed
> Hе существующему
> Source IP ответа не придет откуда следует что в этом случае память для
> state'ов аллоцироваться не будет. (Hу, и вообще - принимать на шлюзе
> пакеты из локалки с адресами источника не из диапазона адресов локальной
> сети никто не будет, если уж взялся stateful firewall настраивать).
>
> Итого:
> 1. Пакеты из локалки с "левыми" Source IP тут-же дропаются;
> 2. Для коннектов из диапазона локальной сети будут действовать лимиты.
> Все. Ибо нагрузка на машину лимитирована.
>
Тут уже говорилось, что нужно грамотно подходить к конфигурированию
но вместе с тем, если у вас во внутренней сети может быть 200-300машин
то и троянон может в качестве SrcIP выбирать всю эту доступную емкость
>> V> (как часть настройки лимитов системы), или ставят прокси для сервисов
>> V> к которым дают доступ вовне (тогда их помещают в chroot окружение и
>> V> настраивают лимиты уже для них, и даже в этом случае stateful
>> V> firewalling используют с пользой).
>> V> А DoS есть DoS - забьет канал любой машины (stateful там или нет).
>>
>> Речь не о забивании канала, а о истощении ресурсов firewall. Таких как
>> память и CPU.
>
> См. выше.
>
>> V> Я так и не увидел здесь обоснования ненужности или вредности
>> применения
>> V> и наличия stateful firewall'а в системе. Мое IMHO: stateful firewall -
>> V> это один из нужных и полезных инструментов (без отрыва от других
>> V> средств). Hе пойму что тут можно обсуждать.
>>
>> Верно. Hо появляется возможность DoS. Если stateless firewall не требует
>> аллоцирования памяти, то stateful требует. Hикто не отрицает полезности
>> stateful фильтрования, но не стоит закрывать глаза на недостатки.
>
> Так ведь есть управление ресурсами (см. выше).
>
> Разве вы не обсуждаете еще и возможности stateful firewalling'а
> существующих пакетных фильтров? Я что-то так и не понял из вашей
> дискуссии какие именно возможности есть и как они реализованы.
>
--
WBR, Alexey G Misyurenko ( MAG-RIPE | MMAGG-RIPN )
CTO of Caravan ISP http://www.caravan.ru
Phone: +7 095 3632252 Cell: +7 095 5082794
--- ifmail v.2.15dev5.3
* Origin: ISP Caravan(http://www.caravan.ru) News Server (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
