Hi Alle,
ich war noch bis 5 Uhr am machen.
Für die die es interessiert, zwei Erkenntnisse die ich gewonnen habe:
1.) Der Unterschied zwischen
state NEW und
--syn ist wie,
ich treffe meine Freundin zwar jede Woche erNEUt (--syn), dennoch ist Sie für mich nicht NEU (state NEU) mehr, dass war Sie nur am Anfang als ich siedas erste mal traf.
Bezogen auf Computer heißt das, dass zwei Computer zwar häufiger neue Verbindungen aufbauen können (--syn), aber nur das erste mal, wenn sie sich treffen ist auch wirklich NEU (state NEW). Obwohl, dass glaube ich auch noch nicht ganz stimmt. Bei
--syn handelt es sich um eine Möglichkeit, das der Client ein Flag setzt und dem Server damit erklärt was es wünscht, wobei die states ein Mechanismus sind, wo der Server selber überlegen muss, was der Client wirklich will, die Flags des Clients interessieren dann nicht mehr. Der Client könnte also die Flags seiner eigenen Pakete manipulieren und der Server würde nicht drauf rein fallen.
2.) Das erste verworfene Paket von Michael hat DPT=443 (Redirektion von 80 auf 443, durch Apache eingestellt) und SYN Flag eingestellt und als TCP Protokoll. Daher nehme ich an das die ersten Pakete mit DPT=80 akzeptiert wurden. Das erste verworfene Paket, welches fallen gelassen wurde in <attacksinput(NEW,INVALID)> wurde nicht von meiner Regel in Zeile 133
Meine Veränderte Firewall( ursprünglich mit NEW, nun mit --syn) erfasst. Zeile 133 sagte aber ganz eindeutig, dass alle Pakete mit state NEW und DPT=443 hier rein fallen sollen. Da dies aber nicht der Fall war und weil es von <attacksinput(NEW,INVALID)> ergriffen wurde, muss es INVALID sein. Daher stellt sich mir die Frage, ob ein Paket als state NEW markiert wird, nach dem es durch mein Apache Server redirekted wurde von Port 80 auf 443?
In der Newsgroup
gmane.comp.security.firewalls.netfilter.general empfahl man mir, ich solle es mit -m conntrack und den states NEW,DNAT probieren. Es ist erst zu Ende wenn es zu Ende ist.
interessanter als ein Performance Test, wären Sicherheits-Test. Ich stelle allerdings erstmal alles um auf
conntrack --ctstate. The old Style mit
--syn möchte ich meiden auch wenns funktioniert.
Grüße Markus
34615