ipfw - propósito de manter estado de saída?

Question

Eu estou olhando sobre as regras do ipfw para o nosso servidor web e me ocorreu que usamos check / keep-state em todo o tráfego de saída. Temos apenas algumas portas abertas em ambas as direções. Nós não temos muito tráfego de saída, e 99% dele está na porta 80 (PHP / CURL por exemplo). Poderia haver um risco potencial de preencher a tabela de estados, então estou pensando que é desnecessário usar keep-state. Nós não o usamos na entrada (por razões óbvias). O que, em geral, é o propósito de usar o keep-state?

    

Answer 1

Manter estado de saída abre as portas dinamicamente para respostas ao tráfego de saída. Esses pacotes de resposta podem retornar em qualquer porta, portanto, manter o estado reduz a exposição ao abrir as portas aleatórias usadas no serviço externo, permitindo que os pacotes de resposta voltem. Em casos especiais, um servidor pode ser executado sem estado de manutenção, sem tráfego externo, mas na prática, a maioria dos sistemas usa serviços externos. Um sistema de várias camadas pode ser configurado para responder em portas específicas, mas a configuração padrão para a maioria dos serviços de uso geral é; porta de entrada conhecida - saída de porta aleatória. DNS, email de saída, log remoto, ping, balanceamento de carga ou heartbeats watchdog, notificações de pager / celular, alguns ou todos são tráfego de saída comum em servidores que "não possuem tráfego de saída".