Date: Wed, 01 Sep 2004 08:38:11 +0200 From: Erik Norgaard <none@norgaard--locolomo.org.lh.bsd-dk.dk> To: bsd-dk@bsd-dk.dk Subject: Re: Problem med IPFILTER
Allan Wermuth wrote:
> Når du i dit regelsæt bruger "keep state" sammen med udp, er det så ikke
> en fejl? UDP er da stateless, ik'?
Det er ikke en fejl, ip-filter holder øje med de udp pakker der sendes
ud og hvis et svar kommer tilbage indenfor rimelig tid (normalt 1 minut)
lukkes pakken ind. Det samme gælder icmp, og ip-filter er smart nok til
at se at hvis det er en icmp-echo der går ud skal den forvente en
icmp-echo-reply tilbage. Da udp ikke har nogen 'flag' kan man
naturligvis ikke skrive flags S, som med tcp.
Hvis du ikke har keep state, skal du åbne for pakker ind og det er noget
værre rod at holde styr på.
Tag et kig på ip-filter howto - jeg måtte selv læse den et par gange før
jeg havde helt fat i det.
Mvh Erik
This archive was generated by hypermail 2b30 : Wed 15 Nov 2006 - 18:24:43 CET