forum.lissyara.su

Разбираюсь с настройкой роутера freebsd 7.0, ipfw и nat.
Как обычно, надо не только открывать соединения, но и получать на них ответы. Соотв. как я понял есть 2 пути: либо использовать "allow all established" по принципу "если соединение установлено, значит его кто-то установил", либо для каждого разрешающего правила добавлять keep-state. Вопрос в том, что лучше и почему?

Мне больше нравится вариант с keep-state: established пропускает все пакеты с установленным флагом, а keep-state разрешает пакеты только определенной сессии. Плюс трафик по каждому правилу показывает реально переданный объем данных, а не только факт установления соединения. При этом вроде бы хорошо обрабатываются даже UDP/ICMP-сессии.
Однако вариант с keep-state гораздо реже рассматривается (вроде бы он появился только в последних версиях?)

Вот хотел узнать, нет ли каких проблем с keep-state: слишком большая нагрузка на процессор, некорректная работа с сессиями, еще что-нибудь?

1. По любому дольше работает фаер.
2. Количество динамически создаваемых цепочек не бесконечно. (keep-state создает/удаляет динамическое правило)

Т.е. основной недостаток keep-state в снижении производительности?
А есть реальный опыт, стоит ли с ним связываться? Не знаю как оценить, хватит ли производительности сервера.

а по-моему наоборот, повышается производительность фаервола...
хотя фаервол != система, но все же
http://house.hcn-strela.ru/BSDCert/BSDA ... inspection

ну если кипстеит не лепить на все что попало
то вполне все нормально

смысла в кипстеит для 80 проокола я невижу

вобще кипстеит делается для защиты от спуфинга и прочего
22 порт обычно актуален
остальное уже по сервисам
mysql или еще ченго нибудь
и то если сеть большая и есть что защищать

сеть - 100 компов,
т.е. получается, наиболее загруженные порты (веб, почта) лучше пустить через established, а наиболее "интересные" keep-state'ом?

Хотя keep-state мне кажется имеет смысл использовать для простоты и наглядности правил файлволла, а так большого смысла нет - только лишние сложности и проблемы.

кипстеит восновном для защиты секюрных портов
но и еще бывает юзают для упрощение фаервола