Re: lug-bg: --syn != state NEW

[Ilia Lindov <ilia@xxxxxxxxxxxxxx>]

dgt_it dgt_it wrote:
> Искам да питам каква е разликата м/у
>
> iptables ... --syn ...
>
> iptables ... -m state --state NEW ...
Когато имаш --syn можеш да въздействаш само на TCP връзки.
Докато NEW има влияние върху UDP и ICMP пакети.
Виж 'Iptables Tutorial' от Oskar Andreasson. Там доста добре е обяснено
това.

> Защото лично аз не я разбирам нещо ?!. ( и хоутата четох ,и man iptables,но уви неразбрах разликата :( ).
>
> --state NEW съответства на всяка НОВА ВРЪЗКА -> дотук ОК !
>
> --syn съответства на пакет с вдигнат бит SYN . 
> т.е изисква се синхронизация на пакетите и/или установяване на нова връзка/конекция (?)
Както писах по-горе SYN пакети имаш само при TCP

> Всмисъл ще е по правилно
>
> iptables -A INPUT -m state --state NEW --syn -j DROP
Тук за да използваш --syn трябва да укажеш че протокола е TCP (-p tcp).
Тогава обаче --state NEW и --syn става едно и също и се обезмисля
употребата им заедно.


> iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT
>
> (не приемам връзки с вдигнат syn ,но приемам всички останали опити за нова връзка / конекция -> state NEW )
>
> или
>
> iptables -A INPUT -m state --state NEW -j DROP
> iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT
> iptabels -A INPUT --syn -j ACCEPT 
при положение, че на първия ред DROP-ваш всички NEW пакети, то последния
ред никога няма да влезе в действие (освен това ти липсва и '-p tcp')

> ( не приемам NEW - което обаче май значи всички опит за нова конекция от страна на хост към мен , но поволявам пакети със вдигнат бит syn ?)
>
> Така де, ако някой не му се обяснява , но знае добър "линк" само да го даде насам ;)
>
> ПС: за мен този въпрос е важен , защото дефакто в момента firewall-а ми никаква работа невърши , макар и да съм казал пускай този порт по този протокол , но като съм позволил state NEW -> това означава , че всеки хост може да отвори нова връзка към всеки един порт ?!., така че сигурност никаква :)) и :( ( разбира се ).
>
> ПРЕДВАРИТЕЛНО много благодаря ;)
Това е според мен. Успех! :)


Поздрави: Илия Линдов

============================================================================
A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers).
http://www.linux-bulgaria.org - Hosted by Internet Group Ltd. - Stara Zagora
To unsubscribe: http://www.linux-bulgaria.org/public/mail_list.html
============================================================================