Dotaz: použití state u iptables

[Jiří J.]

Dobry den, chtel bych se zeptat na jednu vec: pokud pouziji state related,established spolu s limitem prichozich tcp packetu s flagem syn,rst,syn/ack , ma smysl pridavat jeste pravidlo

$IPTABLES -A INPUT -p tcp ! --syn -m state --state NEW -j DROP ?

To limitování příchozích syn,syn/ack a rst ma asi vyuzitelnost jen v pripade, ze se vyskytne nekdo, kdo pouzije mitm se spoofingem hlavicek packetu na IP, se kterou uz ma moje masina otevrene spojeni (neohodnoti to jako new), tudiz by mohl zpusobit DoS, ale diky tomu limitu by nemel.. ovsem nechapu proc jeste dodatecne filtrovat vsechno, co neni syn (syn/ack,rst) a ma state new, kdyz policy pro input mam na drop a pousti to jen established a related..

Odpovědi

[Michal Kubeček]

Tyhle pakety (new, ale ne SYN) souvisejí s nejapným pokusem Microsoftu o "vylepšení" TCP, který se datuje někdy do roku 2000. Osobně nevidím důvod, proč tyto pakety řešit nějakým mimořádným pravidlem, spíš to podle mne autoři různých ukázkových konfigurací opisují jeden od druhého, aniž by pořádně věděli, proč tam to či ono pravidlo vlastně je.

[Jiří J.]

Takže by se neměly vůbec ke mě dostat, protože mají -nepovolený- state new a tudíž je není třeba řešit nějakým extra pravidlem (btw: na faqs.org/docs/iptables je to řešeno oba způsoby zároveň, proto jsem se ptal)

[Michal Kubeček]

Pokud je nepovolíte některým jiným pravidlem.

[Jarek Petrik]

Zkusil jste si je dat logovat? Zkuste, je to velmi poucne.

[Michal Kubeček]

Samozřejmě. Ale jak píšu, nevidím důvod, proč jim přikládat nějakou mimořádnou pozornost.