Обсуждение статьи тематического каталога: Защита от хакерских атак с помощью ipfw (ipfw firewall security freebsd scan tcpdump dos)

Ссылка на текст статьи: http://www.opennet.me/base/sec/ipfw_antihack.txt.html

• Защита от хакерских атак с помощью ipfw (ipfw firewall security freebsd scan tcpdump dos),weldpua2008, 22:46 , 02-Май-06
• Защита от хакерских атак с помощью ipfw (ipfw firewall security freebsd scan tcpdump dos),Арслан, 22:30 , 03-Ноя-06
• Защита от хакерских атак с помощью ipfw (ipfw firewall security freebsd scan tcpdump dos),MoBy, 16:16 , 19-Фев-07
• Защита от хакерских атак с помощью ipfw (ipfw firewall security freebsd scan tcpdump dos),Саша, 08:29 , 24-Май-07
• Защита от хакерских атак с помощью ipfw (ipfw firewall security freebsd scan tcpdump dos),Krasnyj, 12:30 , 13-Июн-07
• Защита от хакерских атак с помощью ipfw (ipfw firewall security freebsd scan tcpdump dos),Krasnyj, 14:16 , 13-Июн-07
• Защита от хакерских атак с помощью ipfw (ipfw firewall security freebsd scan tcpdump dos),ak, 10:58 , 31-Янв-08

Хотелось Бы еще инфы...

Молодца!

Хорошее начало для осмысленной защиты. Есть с чего начинать, и дано направление куда двигаться.

Статейка супер, спасибо! побольше бы таких

Довольно интересно

Бомба! Очень полезный материал, особенно для начинающих. + Толково изложено

Поправка:
ipfw add number reject tcp from any to any tcpflags !'fin', !'syn', !'rst', !'psh', !'ack', !'urg'
Иначе правило не добавится.

Небольшое несоответствие

>limit  {src-addr  |  src-port  |  dst-addr  | dst-port} N - вводит
>       ограничение  на  число  одновременных  соединений, удовлетворяющих
>       правилу.  Все  последующие  (свыше  N)  соединения будут считаться
>       несоответствующими  данному п равилу.

...
>а для остальных
>       пакетов  с  этого  адреса  проверка на соответствие правилам будет
>       продолжена,  и  в случае закрытого брандмауэра они будут отброшены
>       после проверки всей цепочки правил.

на самом деле пакеты, удовлетворяющие критерию и превысившие лимит, не будут проверяться дальше по цепочке, а будут ожидать очереди на этом правиле. Это хорошо видно по счетчикам в следующем примере:

00008    531243    224821891 skipto 10 tcp from any to me dst-port 25 limit dst-addr 20
00009         0            0 deny tcp from any to me dst-port 25

Лимит работает, пакеты превышающие его не попадают в правило 9. Ось FreeBSD 6.2-STABLE.
Ман говорит то же самое, только очень кратко:
The firewall will only allow N connections with the same set of parameters as specified in the rule.