Re: Protection contre un DDOS tcp open

[Pascal Hambourg <pascal.mail@plouf.fr.eu.org>]

Salut,

Stephane Bortzmeyer a écrit :
>  Jean-Baptiste FAVRE <jean-baptiste.favre@wanadoo.fr> wrote : 
> > Donc, on a bien SYN/SYN-ACK/ACK mais rien derrière.
>
> Les SYN cookies, sans hésiter.

Si je ne m'abuse, les SYN cookies ne protègent que contre les connexions 
"half-open" (pas de ACK en réponse au SYN-ACK). D'autre part, la 
documentation du noyau prévient qu'ils présentent de sérieux inconvénients :

        syncookies seriously violate TCP protocol, do not allow
        to use TCP extensions, can result in serious degradation
        of some services (f.e. SMTP relaying), visible not by you,
        but your clients and relays, contacting you.