[pso] [tema 5] alta intrebare tema 5

[Adrian - Razvan Deaconescu]

On 5/16/06, sorin simoiu <sorinsimoiu at yahoo.com> wrote:
>
> 2 citate din tema 5 ;
> "pentru detectarea unei conversatii TCP initiate din
> interior este suficient sa se inspecteze pachetele ce
> au flagul SYN setat si flagul ACK nesetat;"
> "daca sa implementeaza cerinta 3, cerinta 2 se poate
> implementa usor, prin inspectarea traficului de iesire
> si adaugarea unor reguli dinamice in tabela de reguli,
> odata ce este detectata o conversatie initiata din
> interior; in cazul in care se detecteaza un pachet ce
> initiaza o conexiune din interior, fie el (ip sursa,
> ip destinatie, port sursa, port destinatie) = (a, b,
> c, d) se va insera in tabela de reguli un pachet (b,
> a, d, c);"
>
> -din cate observam din cele 2 citate nu scrie nicaieri
> ca trebuie sa testez ca initierea conexiunii s-a facut
> cu succes :D ; luand in considerare ca s-a dat acel
> pdf trebuie sa astept un pachet de confirmare de la
> destinatie (care sa contina cpul ack setat) etc?
>
> multumesc,
> sorin simoiu
> 343c3


intrebarea care ti-o pui tu este echivalenta cu "trebuie sa fac un modul de
kernel bun sau unul functional?" :)

intrucat in cadrul testelor nu exista probleme de testare a succesului unei
conexiuni, nu este neaparat sa iti pui problema asta; pe de alta parte daca
intr-adevar doresti sa creezi un modul cu tenta profesionista va trebui sa
ai in vedere modul de functionare a tcp-ului in momentul in care conexiunea
nu este realizata cu succes sau este "subreda"

daca incerci o conectare la un port inexistent de obicei ti se  transmite un
pachet TCP cu flag-urile ACK si RST setate
daca incerci o conectare si un firewall iti respinge pachetele fara
transmiterea unui pachet cu flag-ul RST setat, se vor transmite noi pachete
de conectare (cu flag-ul SYN) la intervale din ce in ce mai mari de timp
(parca ii spune "exponential backoff timer")

in aceste conditii regula de filtrare ar trebui adaugata in tabela ta in
momentul in care primesti un pachet care are flag-ul SYN si ACK setat (adica
esti convins ca s-a realizat cu succes conexiunea)

probleme noi pot aparea in momentul in care se instaleaza un firewall in
timpul unei comunicatii si conexiunea va "muri" fara sa fii anuntat
printr-un pachet TCP cu RST sau FIN; in acest caz ar trebui sa ai atasat un
timer care sa stearga regula de filtrare pentru TCP in aceste situatii

dupa cum vezi situatia nu este simpla cand te gandesti la toate situatiile
particulare :) (probabil ca inca mai sunt altele :) ); daca vrei sa insisti
poti sa consulti laboratorul 5 de Retele de Calculatoare

Numai bine,
Razvan


-- 
Computers don't make mistakes... What they do they do on purpose!
-------------- next part --------------
An HTML attachment was scrubbed...
URL: http://cursuri.cs.pub.ro/pipermail/pso/attachments/20060517/74ba42c5/attachment.html