Re: HTTP Netzwerk Timeouts
On 25.01.2010 13:09, Gerald Holl wrote:
> Peter Palmreuther wrote:
>> Ich wÃŒrde entweder auf dem Router zweimal, oder unter Windows und Linux
>> jeweils separat, den Traffic fÃŒr die gleiche Anfrage mitschneiden, und
>> dann in Wireshark mal die TCP-Pakete vergleichen. Ich nehme an, dass die
>> von Windows aus versandten andere Optionen und Werte enthalten und nicht
>> "reassembled" werden mÃŒssen.
>>
>> Ist aber, jetzt da alles wieder wie erwartet funktioniert, eher
>> akademisch, könnte aber unter UmstÀnden dazu fÌhren, dass man die an
>> sich ja Sicherheit auf TCP-Ebene bietende Option von 'pf' irgendwann
>> wieder aktivieren kann.
>
> In den changelogs von OpenBSD 4.6 steht, dass das reassemblen der Pakete
> nun automatisch passiert bzw. (sinnloserweise, da ja default) explizit
> mit "set reassemble yes" aktiviert werden kann. Höchstwahrscheinlich
> gibt es einen Konflikt der beiden reassemble Varianten, darum hat's wohl
> nicht funktioniert.
Ich hab mir mal spasseshalber durchgelesen, was Openbsd unter
scrubbing versteht:
http://www.openbsd.org/faq/pf/de/scrub.html
Meine Meinung hierzu ist, dass ich eigentlich nicht möchte, dass ein
Paketfilter meine Pakete zerlegt oder entscheidet, was vielleicht
konform ist und was nicht. Es gibt immer Standards, ob sich an die
jeder hällt ist seine Sache. Hier sehe ich das scrubbing etwas zu
konsequent.
"Einige Nicht-OpenBSD-Plattformen senden (und erwarten) seltsame
Pakete - fragmentierte Pakete, die das ,nicht fragmentieren'-Bit
gesetzt haben, welche (ordnungsgemäß) von scrub abgelehnt werden."
Also wenn das DF-Bit seltsam ist und automatisch abgelehnt wird,
dann zweifle ich etwas am Konzept von pf.
Stefan
--
Stefan Bauer -----------------------------------------
PGP: E80A 50D5 2D46 341C A887 F05D 5C81 5858 DCEF 8C34
-------- plzk.de - Linux - because it works ----------
Reply to: