+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

TCP SynCookie

TCP SynCookie, RouterOS

KimC

Guest

30.04.2006 19:30:00

Некоторое время назад, в одной из версий, появился необъясненный параметр "TCP SynCookie" в отслеживании соединений. По умолчанию он отключен. Не мог бы кто-нибудь, пожалуйста, объяснить, что это за cookie делает? Спасибо.

yancho

Guest

30.04.2006 21:28:00

SYN cookies

SYN cookies are a security mechanism used to protect against SYN flood attacks. This technique involves not storing any state information about half-open TCP connections on the server. Instead, the server uses the IP address and port number of the client as a one-time password, which is then encoded in the TCP sequence number of the SYN-ACK packet. If the client is legitimate, it will respond to the SYN-ACK with an ACK packet that contains the correct sequence number. This allows the server to verify that the client is who it claims to be without having to store any state information.

The term "SYN cookie" was coined by David Wagner in 1998.

Advantages:
* Requires no resources to store state.
* Protects against SYN flood attacks.

Disadvantages:
* Can impact performance if SYN cookies are frequently dropped.
* Does not protect against other types of attacks.

SYN cookies are implemented in many operating systems, including Linux and Windows.

#security #networking

andrewluck

Guest

01.05.2006 09:03:00

Это, должно быть, худшее объяснение, которое я когда-либо видел. Из книги "Troubleshooting Linux Firewalls" (Shinn, 2005): Для предотвращения SYN flood-атак, ядра 2.4 и 2.6, если скомпилированы с этой опцией, имеют возможность отправлять так называемые «SYN cookies». Это, по сути, ACK-пакеты, содержащие небольшой криптографический хеш, который отвечающий клиент будет отправлять обратно как часть своего SYN-ACK-пакета. Если ядро не увидит этот «cookie» в пакете-ответе, оно предположит, что соединение фиктивное и отбросит его. Ядро будет отправлять SYN cookies только в случае, если буфер сокета SYN переполнен. Что-то стало немного понятнее.

С уважением, Andrew.

changeip Guest	#4 0 01.05.2006 15:59:00 Есть ли какие-нибудь оконечные устройства, которые не поддерживают этот хеш? Какой риск использования SYN cookies? Будут ли устройства работать с версиями до 19XX? И так далее. Сэм.

andrewluck

Guest

01.05.2006 20:29:00

Просто чтобы прояснить, я не целился в Янчо своим последним постом. Непонятная Википедия, а не он. Интересный вопрос, Сэм, но требует гораздо больше времени на исследование, чем у меня есть сейчас (по крайней мере, пока не сдам этот экзамен Cisco!). Буду рад услышать мнение других. Они несовместимы с Transactional TCP, но я нигде этого не встречал. С уважением, Эндрю.

jarosoup Guest	#6 0 02.05.2006 19:19:00 Думаю, это безопасно использовать, потому что, кажется, большинство дистрибутивов Linux включают это по умолчанию, а если нет, то это одна из самых рекомендуемых настроек для включения в Linux-файерволе/роутере. Я никогда не сталкивался с проблемами при использовании этого. Надеюсь, так же будет и для MT шлюза. Ты прав насчет объяснения на Википедии – особо не помогает, но они ссылаются на статью, в которой это объясняется более подробно.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры