Güvenlik duvarında iki tür politika eylemi vardır: DROP ve REJECT, ve farklar şunlardır:
1. DROP eylemi, veriyi doğrudan geri bildirim vermeden atmaktır. İstemci zaman aşımını beklerse, istemci kolayca güvenlik duvarı tarafından engellenmiş olabilir.
2. REJECT eylemi, reddet (sonlandırılmış) bir paketi (TCP FIN veya UDP-ICMP-PORT-UNREACHABLE) daha kibar bir şekilde döndürür ve karşı tarafın bağlantı eylemini açıkça reddeder. Bağlantı hemen kesilir ve istemci erişilen ana bilgisayarın var olmadığını düşünür. REJECT IPTABLE'larda bazı dönüş parametrelerine sahiptir; örneğin ICMP port-unreachable, ICMP echo-reply veya tcp-reset (bu paket diğer taraftan bağlantıyı kapatmasını ister).
DROP veya REJECT kullanmanın uygun olup olmadığı kesin bir karar yoktur, çünkü her ikisi de gerçekten geçerlidir. REJECT daha uyumlu bir türdür
ve kontrollü ağ ortamında ağ/güvenlik duvarı sorunlarını teşhis etmek ve hata ayıklamak daha kolay; Ve DROP
Daha yüksek güvenlik duvarı güvenliği ve hafif verimlilik artışları, ancak muhtemelen DROP'un standart olmayan (TCP bağlantı spesifikasyonuna çok uygun olmayan) yönetiminden kaynaklanıyor
Bu, ağınızda beklenmedik veya teşhisi zor bazı sorunlara yol açabilir. Çünkü DROP bağlantıyı tek taraflı kesse de, ofise geri dönmez
Bu nedenle, bağlantı istemcisi, bağlantının başarılı olup olmadığını belirlemek için TCP oturumu zaman dolmasını pasif bir şekilde bekler ve böylece şirketin iç ağını ilerletmek için
Bazı istemci programları veya uygulamaları, engellerseniz IDENT protokol desteği (TCP Port 113, RFC 1413) gerektirir
Eğer güvenlik duvarı DROP kuralını haber vermeden uygularsa, benzer bağlantıların hepsi başarısız olur ve bunun zaman aşımından mı kaynaklandığını belirlemek zor olur
Sorun güvenlik duvarı veya ağ cihazı/hat arızasından kaynaklanıyor.
Biraz kişisel deneyimim olarak, dahili bir şirket (veya kısmen güvenilen bir ağ) için bir güvenlik duvarı kururken, daha centilmence bir REDD kullanmak daha iyidir
yöntemi de aynı şekilde, kuralları sıkça değiştirmesi veya hata ayıklaması gereken ağlar için de aynı durum geçerlidir; Tehlikeli İnternet/ekstranet için güvenlik duvarları için,
Daha acımasız ama güvenli bir DROP yöntemi kullanmak gerekir; bu yöntem hackleme saldırısının ilerlemesini (ve en azından DROP'un zorunu) bir ölçüde yavaşlatabilir
TCP-Connect port taramasını daha uzun sürede yapabilir). |
Yayınlandı 2.02.2016 10:33:58
|
|
|
