|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Vadim Guchenko 2:5020/400 28 Jul 2007 23:26:38
To : Vadim Goncharov
Subject : Re: ipfw and keep-state
--------------------------------------------------------------------------------
Hello, Vadim!
You wrote to Vadim Guchenko on Sat, 28 Jul 2007 17:20:06 +0000 (UTC):
VG>> Hо разве нат в этом случае не пропустит пакет наружу и не примет
VG>> для него ответ? Разве он
VG> Причем тут нат, когда речь о сети с реальными адресами?
Ты в последней фразе написал, что для случая с натом такой вариант не
реален.
VG>> смотрит какие там TCP-флаги выставлены на пакете и на этом
VG>> основании транслирует его или отбрасывает?
VG> Разумеется, смотрит - man natd /-deny_incoming
Причем тут deny_incoming? Я говорю о случае, когда TCP-пакет изнутри сети
идет наружу. Hат должен создать запись в таблице трансляции и пропустить
пакет. И соответственно принять ответный пакет. А смотрит ли он при создании
записи, что TCP пакет на самом деле не первый, а второй в рукопожатии -
вопрос спорный.
VG>> То же самое наверное относится и к keep-state. С одной стороны в
VG>> sysctl есть различные переменные вида dyn_ack_lifetime,
VG>> dyn_syn_lifetime и т.д, с другой стороны эти переменные могут
VG>> влиять только на время жизни динамического правила ipfw, но не на
VG>> условие его создания. Точно насчет этого я не знаю. В манах не
VG>> написано, а исходники я не смотрел.
VG> Учитывает, учитывает. Даже номера последовательностей TCP учитывает.
VG> Правда, состояние все равно будет создано на
VG> net.inet.ip.fw.dyn_rst_lifetime секунд (по умолчанию одна).
А если будет создано, за эту секунду вполне можно успеть начать обмен
пакетами с ACK и состояние будет поддерживаться.
VG>> Hо инсайдер с таким же успехом может послать пакет на установку
VG>> соединения наружу на адрес и порт атакующего якобы с адреса и порта
VG>> атакуемого, чтобы создать динамическое правило в ipfw. С другой
VG>> стороны, если есть инсайдер, зачем такие сложности с файрволом? Он
VG>> и так всю инфу сам может посмотреть и слить. Или выступить в
VG>> качестве прокси для удаленного атакующего.
VG> Об этом я и говорил. Инсайдер может принять снаружи от атакующего
VG> первый пакет без SYN и т.п., как-либо модифицировав свой tcp-стек, к
VG> примеру - и оно пройдет через established.
Зачем такие сложности? Инсайдер может сам установить с атакующим исходящее
TCP-соединение, которое пройдет и через нат, и через файрвол с keep-state. И
established тут вообще роли не играет.
--
Best regards, Vadim.
--- ifmail v.2.15dev5.3
* Origin: Demos online service (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
