Dotaz: zahazování chybných paketů

[ArnoldRimmer]

Ahoj, mám takový problém, chtěl bych nějakým způsobem zahazovat všechny UDP pakety které jsou chybové, např. mají chybný kontrlolní součet. Např. na firewallu, dříve než je odchytí jedna aplikace, která bohužel po obdržení takovéhoto paketu zamrzne, existuje na to nějaká utilita?

Odpovědi

[Marv-CZ]

Něco jako

-m conntrack --ctstate INVALID

u pravidla iptables. Musíš mít nainstalovaný iptables modul conntrack a zapnutou kontrolu crc (/proc/sys/net/ipv4/netfilter/ip_conntrack_checksum).

Otázka ale je, zda je vůbec ten kontrolní součet vyplněný, není to totiž povinné.

[ArnoldRimmer]

Hmm, to bude asi problém, zkoumám ty pakety, a ethereal mi u nich nyní ukazuje Checksum correct, ale že jsou Malformed, jinak jedna se o SIP protokol.

[Marv-CZ]

Ono u UDP toho moc kontrolovat ani nejde. V záhlaví máš akorát zdrojový/cílový port, délku a kontrolní součet. Třeba může být nějaká chyba v IP hlavičce. I když, to by zase nemělo mít vliv na tu cílovou aplikaci.

Stejně ale by špatný paket neměl způsobit zamrznutí aplikace. Bylo by dobré to reportovat autorům a nějaký ten špatný paket přiložit.