Re: wieso Iptables output reject?
On Tue, 8 Oct 2019 15:18:35 +0200, Ulf Volmer <u.volmer@u-v.de> wrote:
>On 08.10.19 13:32, BAGI Ákos wrote:
>
>[quoting repariert]
>
>> 2019.10.08 7:50 keltezéssel, Heiko Schlittermann írta:
>>> Wenn die State-Machine des Connection-Tracking glaubt, daß die
>>> Verbindung schon
>>> fertig ist, dann wäre dieses Paket außerhalb von „ESTABLISHED“.
>>>
>>> Warum sie das glauben sollte, weiss ich jetzt nicht. Dazu müsste man
>>> sich mal das TCP State Diagram ansehen und gucken, ob so ein Zustand
>>> eintreten kann.
>
>> Ich babe herausgefinden, das das Paket ist INVALID.
>> Ich habe keine Ahnung wie das vorkommen kann.
>
>Ein Paket ist invalid, wenn es weder new, related oder established ist.
>Meine Vermutung hier ist, dass die Verbindung bereits beendet ist. Warum
>Dein System dann aber trotzdem ein FIN ACK schickt, ist mir auch unklar.
TCP ist gemessen an seinem Alter ein hochkomplexes Protokoll, das im
Netfiltercode eher rudimentär nachgebildet ist. Um die zuordnung in
EStABLISHED und INVALID richtig hinzubekommen, müsste man die State
Machine des Kernels im Prinzip komplett nachprogrammieren.
Besonders bei den Feinheiten des Verbindungsabbaus merkt man diese
Lücken deutlich, in dem manche Pakete, die zu einem ordentlichen
Verbindungsabbau gehören, schon als INVALID verworfen werden.
Man hat nun mehrere Möglichkeiten:
(1) Man verbessert die netfilter-Implementierung.
(2) Man filtert sich die Logeinträge aus dem Log weg
(3) Man schreibt eine Extra-Regel, die diese Pakete ohne Logeintrag
verwirft
(4) Man schreibt eine Extra-Regel, die diese Pakete durchlässt
(5) Man lässt alles so und ignoriert die Einträge
Jede dieser Möglichkeiten hat ihre eigenen Vor- und Nachteile; eine
detaillierte Betrachtung würde vermutlich meinen Zeitrahmen sprengen.
Grüße
Marc
--
-------------------------------------- !! No courtesy copies, please !! -----
Marc Haber | " Questions are the | Mailadresse im Header
Mannheim, Germany | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 621 72739834
Reply to: