Dnia 11.08.2010 Grzegorz Janoszka <Grzegorz@nie-lubie-spamu.Janoszka.pl> napisał/a:
>> Ograniczenie dostępu do TCP/179 tylko dla peerów to oczywista oczywistość.
>
> Jak to chcesz ograniczać? Bo wiele ruterów w internecie, jak dostaje TCP
> SYN z adresu, na który nie ma żadnej sesji, to wysyła TCP RST czy tam
> inne refused. Więc po co to ograniczać bardziej?
Hmm, skąd wziąłeś to że coś "chcę" i że "bardziej"? :) Napisałem jak jest.
Nawet zilustrowałeś to własną obserwacją.
Dla ustalenia uwagi: Przemysław pytał, czy nie boję się remote babola
w bgpd[1]; odpowiedziałem, że port tej usługi nie zwykł gadać z IP
innymi niż jego peery.
I przychylam się do stosowana podobnej filozofii dla sshd (niezaufani=wypad;
a czy egzekwujemy to aplikacyjnie, czy ACL-ką/firewallem, to inna bajka).
[1] Gdzie wektorem ataku jest otwarty port TCP i możliwość pokonwersowania
z demonem bezpośrednio (zaniedbuję ataki pośrednie typu magiczny AS-PATH).
-- Paweł MałachowskiReceived on Wed Aug 11 19:00:03 2010
To archiwum zostało wygenerowane przez hypermail 2.1.8 : Wed 11 Aug 2010 - 19:40:01 MET DST