Hallo Janto, At 30.07.2001, Janto Trappe wrote: > * Guido Hennecke <g.hennecke@t-online.de> [25-07-01 18:52]: [...] > > Darum filtert man bei ipchains in der Input und Output Chain eben auch > > nur diesen Traffic und leitet alles Andere in die Forward Chain. > > > > Sprich, Du hast Regeln ueber Dinge, die nicht passieren duerfen in der > > Input und Output Chain und laesst den Rest durch. Du musst dich dann > > auch nicht mit deinen Regeln darum kuemmern in Input und Output Dinge zu > > filtern, die dann auch noch die Forward Chain durchlaufen, sondern > > filterst nur dort. > Das heisst es geht hier ausschlieslich um eine Policy von ACCEPT? > Ansonsten ergibt das obige IMO keinen Sinn. Nein, auf _keinen_ Fall! Du filterst das, was vom Internet (Beispiel) kommt und geroutet werden soll in die Forward Chain (nicht einzeln pro Port sondern moeglichst global und filterst dann eben in der Forward Chain. > > > Mit limit kann man beschränken wie oft eine Regel zutreffen darf. > > > Zum Beispiel wenn man nur ein SYN-Packet pro Sekunde zulassen will. > > Der einzige Fall der mir spontan in den Sinn kommt, wo das wirklich Sinn > > macht, ist bei ICMP und das kann man uebers proc Filesystem einstellen. > ICMP kennt kein SYN Bit. Nein, ich rede von Floods. Beispielsweise ein ICMP Paket (in dem Fall ein Echo Request) von einer Broadcast Adresse auf deine Systeme o.Ae. > > Ansonsten kennst auch der 2.2´er Kernel Syn Floods. > Du meinst er kann sie verhindern? IIRC kann er bei einem "erkannten" Syn Flood die Pakete verwerfen anstatt sie an die Anwendung weiter zu leiten. [...] > > Da Du normalerweise in der Forward Chain auch angibst, wer Quelle und > > Ziel ist, eruebrigt sich das, wenn Du wie oben beschrieben in der Input > > und Output Chain entsprechend filterst. > ACK! Uebersichtlicher und Feherlunanfaelliger ist es aber auf jeden > Fall. Haeh? Gruss, Guido -- - Ich war kein Fuzzy, sondern ein Hacker. (FvL in de.comp.os.unix.discussion) -GnuPG- Get my public GnuPG key by sending me an email with subject "GnuPG-Request"
Attachment:
pgpV3Ul0bvnNR.pgp
Description: PGP signature