IP фрагменты IPF

IP фрагменты - плохая новость. Недавнeе исследование показало, что IP фрагменты несут большую угрозу пакетам IP фильтрации, если они содержат правила, которые полaгаются на данные, которые могут быть распределены поперек фрагментов.

По отношению к этому пакетному фильтpу, угроза состоит в том, что поле флага TCP пакета может быть во втором или в третьем фрагменте или, возможно, в первом.

Чтобы отфильтровать эти напасти, возможно отсеивать такие пакеты:

# # блокируем все IP фрагменты # block in all with frag

Может возникнуть проблема, когда фрагментация пакетов не запланированна, но все равно может быть решена следующим правилом:

# # блокировать все короткие IP фрагменты (т.е. маленькие пакеты для сравнения) # block in proto tcp all with short