V požarnem zidu obstajata dve vrsti ukrepov politike: DROP in REJECT, razlike pa so naslednje:
1. Dejanje DROP je preprosto neposredno zavrževanje podatkov brez odziva. Če odjemalec počaka na časovni iztek, se lahko hitro znajde blokiran s strani požarnega zidu.
2. Dejanje ZAVRNI bo vrnilo zavrni (zaključen) paket (TCP FIN ali UDP-ICMP-PORT-UNREACHABLE) bolj vljudno in eksplicitno zavrnilo akcijo povezave druge strani. Povezava je takoj prekinjena, odjemalec pa misli, da dostopni gostitelj ne obstaja. REJECT ima v IPTABLES nekatere povratne parametre, kot so ICMP port-unreachable, ICMP echo-reply ali tcp-reset (ta paket bo zahteval drugo stran, naj prekine povezavo).
Ni dokončno jasno, ali je primerno uporabiti DROP ali REJECT, saj sta oba res uporabna. REJECT je bolj prilagodljiv tip
ter lažje diagnosticirati in odpravljati napake v omrežnih/požarnih zidovih v nadzorovanem omrežnem okolju; In DROP zagotavlja
Višja varnost požarnega zidu in rahla izboljšava učinkovitosti, vendar morda zaradi nestandardizirane (ne zelo skladne s TCP specifikacijo povezave) obravnave DROP-a
Lahko povzroči nepričakovane ali težko diagnosticirane težave v vašem omrežju. Ker čeprav DROP enostransko prekine povezavo, se ne vrne v pisarno
Zato bo odjemalec za povezavo pasivno počakal, da se TCP seja izteče, da ugotovi, ali je povezava uspešna, s čimer napreduje notranje omrežje podjetja
Nekateri odjemalski programi ali aplikacije zahtevajo podporo protokola IDENT (TCP Port 113, RFC 1413), če to preprečite
Če požarni zid uporabi pravilo DROP brez predhodnega obvestila, bodo vse podobne povezave odpovedale in težko bo ugotoviti, ali je to zaradi časovne omejitve
Težava je v požarnem zidu ali okvari omrežne naprave/linije.
Malo osebne izkušnje: pri nameščanju požarnega zidu za notranje podjetje (ali delno zaupanja vredno omrežje) je bolje uporabiti bolj gospodski ZAVRNI
metoda, enako velja za omrežja, ki morajo pogosto spreminjati ali odpravljati napake pravil; Za požarne zidove za nevaren internet/ekstranete,
Potrebno je uporabiti bolj brutalno, a varno metodo DROP, ki lahko do neke mere upočasni napredovanje (in vsaj DROP) hekerskega napada
lahko podaljša skeniranje TCP-Connect vrat). |
Objavljeno na 2. 02. 2016 10:33:58
|
|
|
