Det finns två typer av policyåtgärder i brandväggen: SLÄPP och AVVISA, och skillnaderna är följande:
1. DROP-åtgärden är helt enkelt att direkt kassera datan utan återkoppling eller svar. Om klienten väntar på timeouten kan klienten lätt bli blockerad av brandväggen.
2. AVVISA-åtgärden returnerar ett avvisat (avslutat) paket (TCP FIN eller UDP-ICMP-PORT-UNREACHABLE) artigare och avvisar uttryckligen den andra partens anslutningsåtgärd. Anslutningen kopplas omedelbart bort, och klienten tror att den åtkomstvärden inte existerar. REJECT har vissa returparametrar i IPTABLES, såsom ICMP port-unreachable, ICMP echo-reply eller tcp-reset (detta paket ber den andra parten att stänga av anslutningen).
Det finns inget avgörande om det är lämpligt att använda DROP eller REJECT, eftersom båda faktiskt är tillämpliga. REJECT är en mer följsam typ
och enklare att diagnostisera och felsöka nätverks-/brandväggsproblem i en kontrollerad nätverksmiljö; Och DROP tillhandahåller
Högre brandväggssäkerhet och små effektivitetsvinster, men möjligen på grund av den icke-standardiserade (inte särskilt kompatibla TCP-anslutningsspecifikationerna) hanteringen av DROP
Det kan orsaka oväntade eller svårdiagnostiserade problem med ditt nätverk. För även om DROP ensidigt avbryter anslutningen, återvänder den inte till kontoret
Därför kommer anslutningsklienten passivt att vänta tills TCP-sessionen går ut för att avgöra om anslutningen är framgångsrik, för att avancera företagets interna nätverk
Vissa klientprogram eller applikationer kräver stöd för IDENT-protokoll (TCP-port 113, RFC 1413) om du förhindrar det
Om brandväggen tillämpar DROP-regeln utan förvarning kommer alla liknande anslutningar att misslyckas, och det blir svårt att avgöra om det beror på timeouten
Problemet beror på brandväggen eller nätverksenheten/linjefelet.
Lite personlig erfarenhet: när man installerar en brandvägg för ett internt företag (eller ett delvis betrodd nätverk) är det bättre att använda en mer gentlemannamässig REJECT
samma sak gäller för nätverk som ofta behöver ändra eller felsöka regler; För brandväggar för farligt Internet/extranet,
Det är nödvändigt att använda en mer brutal men säker DROP-metod, som kan sakta ner framstegen (och svårigheten, åtminstone DROP) av hackningsattacken till viss del
kan göra att de skanna TCP-Connect-portar längre). |
Publicerad på 2016-02-02 10:33:58
|
|
|
