[Sector_nn]

Всем привет!

 

Уважаемые господа, подскажите насколько и чем чревата фильтрация всех входящих TCP/443-пакетов c RST-флагом на маршрутизаторе небольшой корпоративной сети?

Думаю многие поняли, о чём идёт речь, и по-этому сразу оговорюсь, что маршрутизатор - MikroTik и проверять в заголовках Flag, Identification, Frame Sequence он не умеет к сожалению =(

[alibek]

Включите, узнаете.

Я вообще не знаю, зачем на маршрутизаторе небольшой корпоративной сети входящие tcp.

[m0xf]

А по TTL правило возможно создать? Обычно это поле получается фиксированным.

[Sector_nn]

59 минут назад, m0xf сказал:

А по TTL правило возможно создать? Обычно это поле получается фиксированным.

По TTL можно, но я так понял оно не отличается от TTL других пакетов..

[myth]

В случае с Extfilter, например, seq тоже будет правильным. И резет уходит в обе стороны. Так что обойти блокировку таким образом едва ли получится...

[Sector_nn]

24 минуты назад, myth сказал:

В случае с Extfilter, например, seq тоже будет правильным. И резет уходит в обе стороны. Так что обойти блокировку таким образом едва ли получится...

У меня - только в одну )

[myth]

Тогда - гора висящих TCP коннектов. Они будут отсыхать по таймауту, но...

[orlik]

6 hours ago, Sector_nn said:

Думаю многие поняли, о чём идёт речь,

Ну а для остальных поясните , в чем смысл отфильтровывать rst пакеты ? как уже написал @myth, у вас соединения будут отсыхать по таймауту , и на сильно нагруженных серверах может сказаться на предоставлении сервиса

[alibek]

Я вначале подумал, что это защита от NetBIOS (порт 445). Но видимо речь об обходе блокировок.

[YuryD]

6 минут назад, alibek сказал:

Я вначале подумал, что это защита от NetBIOS (порт 445). Но видимо речь об обходе блокировок.

443- нттпс, человек по китайски решил защититься. Типа я rst не принимаю, и всё будет в шоколаде. Нормальный блокировщик rst в обе стороны отправит.

[myth]

3 часа назад, Sector_nn сказал:

У меня - только в одну )

 

[Sector_nn]

Кстати по поводу горы TCP-сессий висящих и отвала по таймауту: разве в нормальном режиме сессия не по TCP FIN завершается? RST я так понял в каких-то исключительных и нечастых случаях высылается. Пришла идея ещё попробовать следующий match-ер задействовать:

Цитата connection-bytes (integer-integer; Default: )    Matches packets only if a given amount of bytes has been transfered through the particular connection. 0 - means infinity, for example connection-bytes=2000000-0 means that the rule matches if more than 2MB has been transfered through the relevant connection

Изменено 19 апреля, 2018 пользователем Sector_nn

[Ivan_83]

В 18.04.2018 в 12:16, Sector_nn сказал:

Уважаемые господа, подскажите насколько и чем чревата фильтрация всех входящих TCP/443-пакетов c RST-флагом на маршрутизаторе небольшой корпоративной сети?

Нашёл где спросить :)))))

Тут же почти никого нет кто в TCP стёках копался.

 

Чревато это тем, что у тебя некоторые соединения будут отваливаться не сразу а по таймауту.

Ну и лучше бы ты их резал только  снаружи и только с определённым ттл, чтобы причинять себе чуточку меньше дискомфорта от тамаутов.

Под таймаутами я понимаю что у тебя браузер скажем не сразу выдаст ошибку а будет морозится сколько там у него в настройках написано, обычно больше минуты не ставят.