В защитната стена има два вида политически действия: DROP и REJECT, като разликите са следните:
1. Действието DROP е просто директно изхвърляне на данните без обратна връзка. Ако клиентът изчака таймаута, той лесно може да се окаже блокиран от защитната стена.
2. Действието REJECT ще върне отхвърлян (прекратен) пакет (TCP FIN или UDP-ICMP-PORT-UNREACHABLE) по-учтиво и изрично ще отхвърли действието за връзка на другата страна. Връзката веднага се прекъсва и клиентът смята, че достъпният хост не съществува. REJECT има някои параметри за връщане в IPTABLES, като ICMP порт недостъпен, ICMP echo-reply или tcp-reset (този пакет ще поиска от другата страна да изключи връзката).
Няма категорично решение дали е подходящо да се използва DROP или REJECT, тъй като и двете наистина са приложими. REJECT е по-съвместим тип
и по-лесен за диагностика и отстраняване на проблеми с мрежовия/защитната стена в контролирана мрежова среда; А DROP предоставя
По-висока сигурност на защитната стена и леко повишаване на ефективността, но вероятно поради нестандартизираното (не много съвместимо със спецификацията за TCP връзка) обработка на DROP
Това може да причини неочаквани или трудни за диагностициране проблеми с вашата мрежа. Защото въпреки че DROP едностранно прекъсва връзката, тя не се връща в офиса
Затова клиентът за връзка пасивно изчаква изтичането на TCP сесията, за да определи дали връзката е успешна, за да развие вътрешната мрежа на предприятието
Някои клиентски програми или приложения изискват поддръжка на IDENT протокол (TCP Port 113, RFC 1413), ако я предотвратите
Ако защитната стена приложи правилото DROP без предупреждение, всички подобни връзки ще се провалят и ще е трудно да се определи дали причината е таймаут
Проблемът е заради защитната стена или повредата на мрежовото устройство/линията.
Малко личен опит, когато внедрявате защитна стена за вътрешно предприятие (или частично доверена мрежа), е по-добре да използвате по-джентълменски REJECT
метод, същото важи и за мрежи, които трябва често да променят или отстраняват грешки; За защитни стени за опасен интернет/екстранети,
Необходимо е да се използва по-брутален, но безопасен метод за DROP, който може до известна степен да забави напредъка (и поне трудността) на хакерската атака
може да ги направи TCP-Connect порт сканиране по-дълго). |
Публикувано в 2.02.2016 г. 10:33:58 ч.
|
|
|
