Dnia 11.08.2010 Grzegorz Janoszka <G...@n...Janoszka.pl> napisał/a:

>> Ograniczenie dostępu do TCP/179 tylko dla peerów to oczywista oczywistość.
>
> Jak to chcesz ograniczać? Bo wiele ruterów w internecie, jak dostaje TCP
> SYN z adresu, na który nie ma żadnej sesji, to wysyła TCP RST czy tam
> inne refused. Więc po co to ograniczać bardziej?

Hmm, skąd wziąłeś to że coś "chcę" i że "bardziej"? :) Napisałem jak jest.
Nawet zilustrowałeś to własną obserwacją.

Dla ustalenia uwagi: Przemysław pytał, czy nie boję się remote babola
w bgpd[1]; odpowiedziałem, że port tej usługi nie zwykł gadać z IP
innymi niż jego peery.
I przychylam się do stosowana podobnej filozofii dla sshd (niezaufani=wypad;
a czy egzekwujemy to aplikacyjnie, czy ACL-ką/firewallem, to inna bajka).


[1] Gdzie wektorem ataku jest otwarty port TCP i możliwość pokonwersowania
z demonem bezpośrednio (zaniedbuję ataki pośrednie typu magiczny AS-PATH).


--
Paweł Małachowski