|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Alex Semenyaka 2:461/640.640 26 Aug 2005 12:02:20
To : Alexey G. Misyurenko
Subject : Passive FTP
--------------------------------------------------------------------------------
26 Aug 05 01:15, you wrote to me:
>> AM> разного и вкусного, даже пытался добавить (альтернативу synproxy
>> AM> для борьбы с syn DDoS),
>> А на каких принципах борьба?
AM> утрированно
AM> аналогично synproxy, только в ответ на syn от tcp клиента
AM> ответить не syn+ack, а просто ack, чтобы заставить tcp клиента
AM> послать еще один syn и вот его уже спокойно пропустить далее
AM> до tcp сервера.
Хм. Куча вопросов:
1) А по какой спецификации при получении ACK вместо SYN+ACK система должна
отослать новый SYN? По-моему, она должна такой ACK полностью проигнорировать, а
SYN перепослать по таймауту. То есть, можно ACK и не отсылать вообще.
2) Hадо же помнить, какой SYN пришёл один раз, а какой - второй? То есть,
требуется аллокировать память под полученные SYNы (как минимум, надо помнить
пары сокетов, 12 байтов на SYN). DoS это откладывает, но не отменяет.
3) Если решение станет известным, то флудилки просто будут рождать пару-тройку
одинаковых SYNов, и данная защита это пропустит.
4) В Ethernet это может (из-за ARP) привести к задержкам в секунду-другую на
установлении каждого TCP-соединения, что не всегда допустимо. Возможно,
механизм нужно делать каким-то настраиваемым, например, с "белым списком"?
Alex
--- IMHO в последней инстанции
* Origin: ...можжевеловых... (2:461/640.640)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
