Užkardoje yra dviejų tipų strategijos veiksmai: DROP ir REEJECT, o skirtumai yra tokie:
1. DROP veiksmas yra tiesiog tiesiogiai atmesti duomenis be jokio grįžtamojo ryšio. Jei klientas laukia skirtojo laiko, klientas gali lengvai būti užblokuotas ugniasienės.
2. Veiksmas REJECT mandagiau grąžins atmetimo (nutraukto) paketą (TCP FIN arba UDP-ICMP-PORT-UNREACHABLE) ir aiškiai atmes kitos šalies ryšio veiksmą. Ryšys nedelsiant atjungiamas ir klientas mano, kad pasiektas pagrindinis kompiuteris neegzistuoja. REJECT turi kai kuriuos grąžinimo parametrus IPTABLES, pvz., ICMP port-unreachable, ICMP echo-reply arba tcp-reset (šis paketas paprašys kitos šalies išjungti ryšį).
Nėra galutinio sprendimo, ar tikslinga naudoti DROP ar REEJECT, nes abu iš tiesų yra tinkami. REJECT yra labiau atitinkantis tipas
ir lengviau diagnozuoti ir derinti tinklo / ugniasienės problemas kontroliuojamoje tinklo aplinkoje; O DROP teikia
Didesnis ugniasienės saugumas ir nedidelis efektyvumo padidėjimas, bet galbūt dėl nestandartizuoto (nelabai atitinkančio TCP ryšio specifikaciją) DROP tvarkymo
Tai gali sukelti netikėtų arba sunkiai diagnozuojamų tinklo problemų. Nes nors DROP vienašališkai nutraukia ryšį, jis negrįžta į biurą
Todėl ryšio klientas pasyviai lauks, kol baigsis TCP seanso skirtasis laikas, kad nustatytų, ar ryšys sėkmingas, kad būtų galima patobulinti įmonės vidinį tinklą
Kai kurioms kliento programoms ar programoms reikalingas IDENT protokolo palaikymas (TCP prievadas 113, RFC 1413), jei to neleidžiate
Jei ugniasienė taiko DROP taisyklę be įspėjimo, visi panašūs ryšiai nepavyks ir bus sunku nustatyti, ar tai įvyko dėl skirtojo laiko
Problema kyla dėl ugniasienės arba tinklo įrenginio / linijos gedimo.
Šiek tiek asmeninės patirties, diegiant ugniasienę vidinei įmonei (arba iš dalies patikimam tinklui), geriau naudoti džentelmeniškesnį REJECT
metodas, tas pats pasakytina apie tinklus, kuriems reikia dažnai keisti ar derinti taisykles; Pavojingų interneto ir (arba) ekstranetų ugniasienėms,
Būtina naudoti žiauresnį, bet saugesnį DROP metodą, kuris gali tam tikru mastu sulėtinti įsilaužimo atakos eigą (ir bent jau DROP)
gali pailginti TCP-Connect prievado nuskaitymą). |
Paskelbta 2016-02-02 10:33:58
|
|
|
