Linux：无效的TCP标志

发布时间：2020-12-14 02:27:08 所属栏目：Linux 来源：网络整理

导读：在教程和书籍中经常建议使用iptables过滤无效的TCP标志.我想知道这些内核本身或iptables状态模块是否已经过滤了.有没有人有进一步的信息？解决方法我想TCP规范并没有禁止一些无效的标志配置.有些系统可能会选择发送(或曾经发送过)奇怪的标志组合,但现在只

在教程和书籍中经常建议使用iptables过滤无效的TCP标志.我想知道这些内核本身或iptables状态模块是否已经过滤了.有没有人有进一步的信息？

解决方法

我想TCP规范并没有禁止一些无效的标志配置.有些系统可能会选择发送(或曾经发送过)奇怪的标志组合,但现在只有“坏人”发送它们(用于FIN扫描等),因此建议将它们过滤掉.

顺便说一句,这里是我用来过滤掉它们的iptables规则(可能是从frozentux iptables教程中得到的)

#new not syn
-A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP

-A bad_tcp_packets -p tcp --tcp-flags ALL NONE -j DROP
-A bad_tcp_packets -p tcp --tcp-flags ALL ALL -j DROP
-A bad_tcp_packets -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
-A bad_tcp_packets -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
-A bad_tcp_packets -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
-A bad_tcp_packets -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!