https://morfikov.github.io/tags/synproxy/ Recent content in Synproxy on Morfitronik Hugo -- gohugo.io pl-PL Sat, 16 Feb 2019 10:20:52 +0000 Mikhail Morfikov https://morfikov.github.io/post/czy-brak-wsparcia-dla-synproxy-w-nftables-jest-problemem/ Sat, 16 Feb 2019 10:20:52 +0000 https://morfikov.github.io/post/czy-brak-wsparcia-dla-synproxy-w-nftables-jest-problemem/ <p>Przenosząc swoje reguły z <code>iptables</code> na <code>nftables</code> zauważyłem, że jedna z nich (gdyby tylko jedna) nie została przetłumaczona przez ten dedykowany translator do reguł. Chodzi o <a href="https://morfikov.github.io/post/unikanie-atakow-ddos-z-synproxy/">mechanizm SYNPROXY</a>, który jest zwykle wykorzystywany do ograniczenia skali ataków DDOS z wykorzystaniem pakietów SYN. Co by nie mówić, to ochrona jaką daje SYNPROXY jest jak najbardziej pożądana z perspektywy serwerów. Dlaczego zatem, gdy się zajrzy na stronę <a href="https://wiki.nftables.org/wiki-nftables/index.php/Supported_features_compared_to_xtables">wspieranych rzeczy w nftables</a>, to przy SYNPROXY widnieje bliżej nieokreślone sformułowanie <code>consider native interface</code> ? Po rozmowach z deweloperami udało się ustalić, że ten zapis oznacza brak wsparcia dla SYNPROXY w <code>nftables</code> . Jeśli zatem ktoś wykorzystuje ten mechanizm mając dodane stosowne reguły w <code>iptables</code> , to czy powinien się on obawiać przejścia na <code>nftables</code> ?</p> Mikhail Morfikov https://morfikov.github.io/post/unikanie-atakow-ddos-z-synproxy/ Sat, 24 Oct 2015 17:39:24 +0000 https://morfikov.github.io/post/unikanie-atakow-ddos-z-synproxy/ <p>Internet nie jest zbyt przyjaznym miejscem i jest wielce prawdopodobne, że prędzej czy później ktoś zaatakuje jedną z naszych maszyn, która świadczy w nim jakieś usługi. Są różne typy ataków, w tym przypadku chodzi o ataki DDoS z wykorzystaniem pakietów wchodzących w proces potrójnego witania (three way handshake) przy nawiązywaniu połączenia w protokole TCP, tj. pakiety <code>SYN</code> , <code>SYN-ACK</code> i <code>ACK</code> . Istnieje szereg mechanizmów, które adresują problem SYN flooding'u ale żaden z nich nie jest doskonały. Jakiś czas temu, do kernela linux'owego trafił patch implementujący <a href="https://lwn.net/Articles/563151/">mechanizm SYNproxy</a> i w tym wpisie obadamy go sobie nieco dokładniej.</p>