Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
#1 2016-10-08 18:23:28
sqrtek - 
Użytkownik
- sqrtek
- Użytkownik
- Skąd: /bin/true
- Zarejestrowany: 2012-06-14
conntrack a czyszczenie tablicy
Cześć,
Mam pytanie czy w momencie czyszczenia tablicy conntracka zrywane są wszelkie nawiązane połączenia?
"Nie pozwól by zgiełk opinii innych ludzi, zagłuszył Twój wewnętrzny głos" ~ Steve Jobs
Offline
#2 2016-10-08 18:39:13
Jacekalex - Podobno człowiek...;)
- Jacekalex
- Podobno człowiek...;)
- Skąd: /dev/random
- Zarejestrowany: 2008-01-07
Re: conntrack a czyszczenie tablicy
Nie zrywane tylko blokowane, FW wtedy traci kluczową informację, jak kwalifikować pakiety do poszczególnych połączeń, i wszystkie się załapią na inne reguły albo najczęściej na domyślną politykę.
Dynamiczny firewall jak Netfilter rozróżnia pakiety na podstawie listy połączeń w tablicy conntrack.
Odpowiada za to taka regułka:
Kod:
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
gdzie decyzja modułu conntack zależy od tego, czy połączenie jest zapisane na liście /proc/net/ip_conntrack.
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)
Offline
#3 2016-10-09 00:54:50
sqrtek - Użytkownik
- sqrtek
- Użytkownik
- Skąd: /bin/true
- Zarejestrowany: 2012-06-14
Re: conntrack a czyszczenie tablicy
Dzięki za informacje, teraz wszystko jasne :)
"Nie pozwól by zgiełk opinii innych ludzi, zagłuszył Twój wewnętrzny głos" ~ Steve Jobs
Offline
#4 2016-10-20 12:03:57
bobycob - Członek z Ramienia
- bobycob
- Członek z Ramienia
- Skąd: Wrocław
- Zarejestrowany: 2007-08-15
Re: conntrack a czyszczenie tablicy
Jacek
Co łańcuch INPUT ma do śledzenia połączeń?
Zawsze sądziłem, że natowany ruch to najczęściej przechodzy przez router - a więc łańcuch FORWARD.
Wskazana linijka przy domyślnej polityce ACCEPT nie ma najmniejszego znaczenia, śledzenie połączeń działa zaraz po załadowaniu odpowiedniego modułu kernela. Bez specjalnych reguł.
Natomiast blokowanie/blokowanie z punktu widzenia hosta będą cego za routerem wykonującym NAT, to połączenie jest utracone=zerwane.
Ostatnio edytowany przez bobycob (2016-10-20 12:04:45)
Offline
#5 2016-10-20 18:21:10
Jacekalex - Podobno człowiek...;)
- Jacekalex
- Podobno człowiek...;)
- Skąd: /dev/random
- Zarejestrowany: 2008-01-07
Re: conntrack a czyszczenie tablicy
Wszystkie połączenia przechodzące przez tablice filter, nat i mangle są odnotowywane w tablicy Conntrack.
Tylko tablica raw jest poza mechanizmem conntrack.
Co łańcuch INPUT ma do śledzenia połączeń?
co zawiasy majπą do drzwi?
Przecież to właśnie w łańcuchach INPUT i PREROUTING wszystkich tablic jest podejmowana decyzja, co zrobić z pakietem, czy go wpuścić, czy przekazać do FORWARDu, czy upuścić.
Pozdro
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)
Offline
#6 2016-10-21 08:53:40
bobycob - Członek z Ramienia
- bobycob
- Członek z Ramienia
- Skąd: Wrocław
- Zarejestrowany: 2007-08-15
Re: conntrack a czyszczenie tablicy
Jeśli w prerouting stwierdzi, że pakiet jest forwardowany, do INPUT nic nie trafia - to nie ipchains :)
Offline
#7 2016-10-21 11:09:56
uzytkownikubunt - Zbanowany
- uzytkownikubunt
- Zbanowany
- Zarejestrowany: 2012-04-25
Re: conntrack a czyszczenie tablicy
3238
Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:46:25)
Offline
#8 2016-10-21 15:30:23
bobycob - Członek z Ramienia
- bobycob
- Członek z Ramienia
- Skąd: Wrocław
- Zarejestrowany: 2007-08-15
Re: conntrack a czyszczenie tablicy
Masz rację,
Samoloty też mają koła :)
Offline