🚀 go-pugleaf

In news:d9eacu$5tp$1@news.dialog.net.pl,
Bartek K. <darkt@unix.legnica.org> typed:

> to bug pfa w freebsd, na openie takich cudow nigdy nie ogladalem, jak
> i pewnie kazdy kto ma pfa na openie.
> Wiec moze nastepnym razem napiszcie "bug pf w freebsd" nie w bug pfa.

Ale to nie jest bug ! Powtarzam to nie jest BUG. To jest normalne
zachowanie.
Ja to wykorzystuję na jednym z moich OpenBSD jako coś normalnego, a jak
wolicie to jako *funkcjonalność*.

Gdyby zamiast
IP x.x.195.97.24258 > y.y.33.7.23: S 4117706767:4117706767(0) win 4128 <mss
1460,sackOK,eol>
IP x.x.195.112.52816 > x.x.195.97.24258: S 2051:2051(0) ack 4117706768 win
1024 <mss 536>
IP x.x.195.97.24258 > x.x.195.112.52816: R 4117706768:4117706768(0) win 0

było

IP x.x.195.97.24258 > y.y.33.7.23: S 4117706767:4117706767(0) win 4128 <mss
1460,sackOK,eol>
IP y.y.33.7.23 > x.x.195.97.24258: S 2051:2051(0) ack 4117706768 win 1024
<mss 536>
IP x.x.195.97.24258 > y.y.33.7.23: R 4117706768:4117706768(0) win 0
wtedy byłby to BUG


Zgodnie z RFC router NATujący nie ma prawa wypuścić na zewn interfejs
pakietu z  IP źródłowym wewnętrznym.
Z kolei pakiet z dst prywatnym, skierowany do routera robiącego NAT, może
być normalnie przerutowany do LANu. Blokowaniem zajmuje się firewall, a nie
NAT.

Normalnie nikt o tym nie pamięta, bo praktycznie nie da się przerutować
adresów prywatnych przez Internet i skierować ich do konkretnego routera z
NATem. Dlatego taki atak możliwy jest praktycznie tylko lokalnie. No chyba,
że ktoś ma złośliwego ISP ;)


Wyjaśnijcie mi jedno. Czy linuks, który ma włączone jedynie NATowianie
blokuje takie pakiety ??


-- 
Pozdrawiam
Piotrek Kapczuk