On Fri, Oct 21, 2011 at 11:10:52AM +0700, Victor Sudakov wrote:

> Mykola Dzham wrote:
> > > > > > Ну да, нужно добавить еще keep-state (который в pf тоже есть, просто
> > > > > > автоматически добавляется)
> > > > > 
> > > > > И это приятно, тоже в этом плане PIX напоминает.
> > > > 
> > > > А в ipfw кстати, если одно правило создает state, например на входе, а
> > > > потом другое на выходе создает тот же самый state, то идёт ругань на
> > > > консоль ярко-белым. Я не понимаю, жалко что ли? В pf это нормальная
> > > > ситуация.
> > > 
> > > И еще в pf заявлена такая фича: "Another advantage of keeping state is
> > > that corresponding ICMP traffic will be passed through the firewall.
> > > For example, if a TCP connection passing through the firewall is being
> > > tracked statefully and an ICMP source-quench message referring to this
> > > TCP connection arrives, it will be matched to the appropriate state
> > > entry and passed through the firewall. "
> > > 
> > > В ipfw такое разве есть?
> > 
> > Если бы Вы виделе код, который в pf это всё реализует, Вы бы только
> > обрадовались что в ipfw этого нет.
> 
> А что именно не так с кодом? Он создает проблемы с безопасностью? 

я не удивился бы.
от кода pf я готов ожидать чего угодно -- все иллюзии у меня пропали
как я увидел, что pbr он делает лазая мимо ядра в исходящую очередь интерфейса

Ответить