Existem dois tipos de ações de política no firewall: DROP e REJECT, e as diferenças são as seguintes:
1. A ação DROP é simplesmente descartar diretamente os dados sem feedback de resposta. Se o cliente esperar pelo timeout, pode facilmente se ver bloqueado pelo firewall.
2. A ação REJECT retornará um pacote reject (terminado) (TCP, FIN ou UDP-ICMP-PORT-UNREACHABLE) de forma mais educada e explicitamente rejeitará a ação de conexão da outra parte. A conexão é imediatamente desconectada, e o cliente pensa que o host acessado não existe. REJECT possui alguns parâmetros de retorno no IPTABLES, como ICMP port-unreachable, ICMP echo-reply ou tcp-reset (esse pacote pedirá à outra parte que desligue a conexão).
Não há uma conclusão conclutiva se é apropriado usar DROP ou REJECT, pois ambos são realmente aplicáveis. REJECT é um tipo mais compatível
e mais fácil de diagnosticar e depurar problemas de rede/firewall em um ambiente de rede controlado; E o DROP fornece
Maior segurança de firewall e ganhos de eficiência leves, mas possivelmente devido ao manuseio não padronizado (não muito compatível com a especificação de conexão TCP) do DROP
Isso pode causar problemas inesperados ou difíceis de diagnosticar na sua rede. Porque, embora o DROP interrompa unilateralmente a conexão, ele não retorna ao escritório
Portanto, o cliente de conexão aguardará passivamente até que a sessão TCP expire para determinar se a conexão é bem-sucedida, a fim de avançar a rede interna da empresa
Alguns programas ou aplicações clientes exigem suporte ao protocolo IDENT (TCP Port 113, RFC 1413) se você evitar isso
Se o firewall aplicar a regra DROP sem aviso prévio, todas as conexões semelhantes falharão, e será difícil determinar se isso é devido ao timeout
O problema é devido ao firewall ou à falha do dispositivo/linha de rede.
Uma pequena experiência pessoal: ao implantar um firewall para uma empresa interna (ou uma rede parcialmente confiável), é melhor usar um REJECT mais cavalheirista
o mesmo vale para redes que precisam alterar ou depurar regras com frequência; Para firewalls para Internet/extranets perigosos,
É necessário usar um método de DROP mais brutal, porém seguro, que pode retardar o progresso (e dificuldade, pelo menos, DROP) do ataque de hacking até certo ponto
pode fazer com que a varredura de portas TCP-Connect deles seja mais longa). |
Publicado em 02/02/2016 10:33:58
|
|
|
