ПРОЕКТЫ 


  АРХИВ 


Apache-Talk @lexa.ru 

Inet-Admins @info.east.ru 

Filmscanners @halftone.co.uk 

Security-alerts @yandex-team.ru 

nginx-ru @sysoev.ru 

  СТАТЬИ 


  ПЕРСОНАЛЬНОЕ 


  ПРОГРАММЫ 



ПИШИТЕ
ПИСЬМА












     АРХИВ :: Inet-Admins
Inet-Admins mailing list archive (inet-admins@info.east.ru)

[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

Re: [inet-admins] acl ... established?



On Wed, Jan 09, 2002 at 09:05:42PM +0300, Paul P Komkoff Jr wrote:
> Replying to Dmitry Valdov:
> > > А как ведёт себя циска, обрабатывая established, при включённом netflow ?
> > > она смотрит netflow cache (conntrack) или только флаги ?
> > В смысле?? При роутинге пакета ей плевать на established вообще.. Роутит,
> > как всех. А при пропуске его через acl - как напишешь acl, так и будет.
> > Я не понял вопроса, в общем. 
> А зря.
> нету ip route-cache: мы проверяем все, допустим, incoming пакеты по aclям.
> Что будет если встретится в aclе строчка established ? он пропустит пакет С
> ФЛАГОМ established или пакет -- часть какого-то соединения?

   AFAIK&IIRC established в acl - не больше, чем просто наличие в ip-пакете
флагов ACK и RST. При этом как Дмитрий сказал киске наплевать на соединения.

> дальше. ip route-cache flow: прверяем только пакеты -- установку соединения,
> потом уже установленные соединения ищутся в netflow cache и не тревожат
> обработку acl. Как в этом случае обрабатываются пакеты с флагом established
> но не являющиеся частью соединения? И обрабатываются ли они вообще ?

   А они тогда не должны находиться в netflow кэше. И соответственно
обрабатываться не ip route-cache flow. По крайней мере я так понимаю.
Старшие товарищи могут поправить :)

-- 
                                Vadim Ostranitsyn
                                Evil's flowers, VO45-RIPE, VO15-RIPN
                                Tomsk State University, Russia

=============================================================================
"inet-admins" Internet access mailing list. Maintained by East Connection ISP.
Mail "unsubscribe inet-admins" to Majordomo@info.east.ru if you want to quit.
Archive is accessible on http://info.east.ru/rus/inetadm.html




 




Copyright © Lexa Software, 1996-2009.