Se você bloquear todas as conexões de entrada, como você ainda pode usar a Internet?

Question

Se o seu ISP ou firewall está bloqueando todas as conexões de entrada, como os servidores da Web ainda podem enviar dados para o seu navegador? Você envia a solicitação (saída) e o servidor envia dados (entrada). Se você bloquear todas as entradas, como o servidor da Web pode responder?

E sobre streaming de vídeo e jogos multiplayer, onde ele usa o UDP? O UDP é sem conexão, portanto, não há nenhuma conexão a ser estabelecida, então como o firewall ou ISP lidará com isso?

    

Answer 1

"Bloco de entrada" significa que as conexões estão bloqueadas, mas o tráfego estabelecido é permitido. Então, se novas conexões de saída forem permitidas, a metade de entrada dessa conversa estará bem.

O firewall gerencia isso rastreando o estado das conexões (esse firewall é geralmente chamado de "firewall com estado"). Ele vê o TCP SYN de saída e permite isso. Ele vê um SYN / ACK de entrada e pode verificar se ele corresponde ao SYN de saída que ele viu e permite que ele seja executado, e assim por diante. Se permitir um handshake de três vias (por exemplo, é permitido de acordo com as regras de firewall), permitirá essa conversa. E quando vir o fim da conversa (FINs ou RST), esta conexão sairá da lista de pacotes para permitir.

O UDP é feito de forma semelhante, embora envolva o firewall lembrando o suficiente para fingir que o UDP tem uma conexão ou sessão (o que o UDP não faz).

    

Answer 2

@gowenfawr tem a imagem de alto nível abaixo. No entanto, pensei em adicionar alguns detalhes sobre como a "correspondência" para o rastreamento de conexão é executada, já que pode parecer mágica para os não iniciados.

Toda conexão TCP possui um número de porta de cada lado. Como a maioria dos técnicos sabe, os servidores HTTP são executados na porta 80. Quando o navegador se conecta a um servidor web, ele pede ao sistema operacional para gerar um número de porta "local", que será algo aleatório como 29672 que não é usado por nenhum outro Conexão TCP desse computador (e o sistema operacional pode fazer isso porque ele sabe sobre todas as conexões TCP ativas). Em seguida, um pacote de instalação TCP inicial será enviado do ip da sua máquina (IP_YOURS) e do número da porta 29672 para o ip do servidor web (IP_WEBSERVER) e o número da porta 80. Nesse ponto, o firewall com estado dirá "aha, futuros pacotes da porta IP_WEBSERVER 80 indo para IP_YOURS porta 29672 não são novas conexões, eles são respostas a uma conexão existente, e devem ser permitidos ". Os firewalls com preservação de estado mantêm uma tabela, e os anexos desta tabela expiram eventualmente se nenhum pacote for visto em qualquer direção por um longo tempo.