Dotaz: Poslat naspat tcp-reset alebo dropnut?

[Marián Oravec]

ahoj ludia. mam jednu otazocku. mozno je skor filozoficka ale aj tak by ma zaujimala odpoved: predstavme si situaciu ze mam takyto firewall:

iptables --policy INPUT DROP
iptables --policy FORWARD DROP
iptables --policy OUTPUT DROP

potom nejake tie pravidla ktore co-to povolia, no a na konci je vhodnejsie/lepsie vlozit toto:

iptables -A INPUT -j DROP    # to akoze paranoia

alebo toto:

iptables -A INPUT -j REJECT --reject-with tcp-reset

podla RFC myslim ze ked pride SYN packet na port na ktorom nebezi ziadna sluzba tak ma system odpovedat RST packetom(ten 2. pripad). takto by mohol kadekto usudit ze tam proste nic nebezi(lebo prisiel RST packet). ale ked to DROP-nem tak je jasne ze je tam firewall. aky je Vas nazor, je to zbytocne pritiahnute za vlasy? dakujem

Odpovědi

[Michal Kubeček]

Korektnější je samozřejmě odmítnout spojení buď RST příznakem nebo pomocí ICMP message (destination unreachable). Jenže na druhou stranu, když vám někdo scanuje porty, proč byste mu s tím měl pomáhat?

[Marián Oravec]

hej jasne. ale ked poslem RST tak si bude mysliet ze tam proste nic nebezi. a ked to dropnem tak mu scanovanie sice potrva dlhsie ale bude vediet ze je tam firewall za ktorou predsalen nieco moze bezat

[martin]

Řekl bych, že je to přesně naopak. Podle RST lze poznat, že tam něco je, ale DROP vypadá stejně jako vypnutý počítač.

[Marián Oravec]

no to ano. ale ked mu prichadza echo-reply alebo ide telnet moja_ip 80 tak vie ze ten stoj je tam...

[unchallenger]

Kdyby byl počítač vypnutý (tj. žádný tam nebyl), dostaneš Destination Host Unreachable, tudíž podle DROPu snadno poznáš firewall.

Lze to řešit syn-flood pravidlem (-m limit), které REJECTuje, dokud těch paketů nechodí moc, pak začne DROPovat. Ovšem pokud jich bude chodit opravdu hodně, tak je začne zahazovat jádro samo.

[unchallenger]

s/žádný tam nebyl/jako by tam žádný nebyl/

[Radek Podgorny]

No, nechci rejpat... ...ale to uz fakt paranoia. Myslim, ze nejlepsi bude nechat to vyresit policy (takze DROP)...

[unchallenger]

Proč DROP, když tím nic nezamaskuješ a navíc je to proti RFC?

[Marián Oravec]

aha takze predsa poslat naspat ten RST packet dakujem

[MOJE]

samozrejme, ze spravne je tcp-reset, ale to jde jen kdyz je protokol tcp (ono na UDP se tezko odpovida tcp resetem a o ICMP ani nehovorim), takze tech radku na konci bude vic. pro UDP je to myslim port-unreachable a u ICMP se fakt nepamatuju ...

[unchallenger]

ICMP se zahazuje. Na UDP se odpovídá ICMP port-unreachable, ale už bych se u něj zahození tak nebránil.