|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Gleb Smirnoff 2:5020/400 23 Aug 2005 23:14:33
To : Victor Sudakov
Subject : Re: Passive FTP
--------------------------------------------------------------------------------
Victor Sudakov <vas@mpeks.tomsk.su> wrote:
>>>> есть pf, есть ipfw2 которые понимают, что такое statefull
>>
>> VS> Понимание ipfw очень примитивно. Hазвать это stateful inspection
>> VS> можно только издеваясь. Оно даже дырочку для простой TCP сессии
>> VS> закрывает по таймауту, вместо отслеживания состояния соединения.
>>
>> Ссылку на код будем давать? Я вот вижу обратное.
VS> Какой код?
Код на языке Це. В файле ip_fw2.c.
VS> Что такое net.inet.ip.fw.dyn_ack_lifetime сотоварищи?
These variables control the lifetime, in seconds, of dynamic
rules. Upon the initial SYN exchange the lifetime is kept short,
then increased after both SYN have been seen, then decreased
again during the final FIN exchange or when a RST is received.
Both dyn_fin_lifetime and dyn_rst_lifetime must be strictly lower
than 5 seconds, the period of repetition of keepalives. The
firewall enforces that.
VS> Или мои сведения устарели и динамические правила нынче протухают не по
VS> таймауту?
По таймауту. Грубо говоря, ваше утверждение выше верно. Hо дело в том,
что таймаут меняется в зависимости от текущего состояния TCP сессии.
Поэтому, если выражаться точно, то утверждение выше не верно.
Предвосхищая дальнейшую дискуссию, буду утверждать, что если stateful
firewall будет удалять state мгновенно по получении RST или FIN пакета,
то он будет сильно не прав. Почему так - предлагаю додумать самому.
VS> L4 и есть TCP. Впрочем, хоть горшком назови, а нужен МСЭ со знанием
VS> протоколов прикладного уровня.
Мне не нужен. Я допускаю, что кому-то нужен.
--
Totus tuus, Glebius.
GLEBIUS-RIPN GLEB-RIPE
--- ifmail v.2.15dev5.3
* Origin: Demos online service (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
