FreeBSD ipfw keepstate vs configuração keep-state

Question

Muitos exemplos em que as pessoas estão usando o estado de manutenção com a configuração em conjunto. Por exemplo:

ipfw add 1 allow tcp from any to me 22 setup keep-state

Por causa da configuração, esta regra permitirá somente pacotes SYN, que são os primeiros pacotes no handshake TCP. ESTÁ BEM.

Mas por que isso é tão necessário? Por que não apenas usando o keep-state sem a instalação? Qual é o lucro?

    

Answer 1

O argumento setup está relacionado ao que a regra corresponde. Nesse caso, ele corresponde ao primeiro pacote de handshake de 3 vias do TCP, no qual o cliente envia um pacote SYN ao servidor.

O argumento keep-state é uma instrução sobre o que fazer após a correspondência da regra. Neste caso, diz para permitir todos os outros pacotes, uma vez que o primeiro pacote tenha sido enviado.

O padrão setup keep-state é geralmente usado para conexões de saída, não para conexões de entrada, como você fez neste exemplo.

    

Answer 2

Aqui estão algumas informações adicionais explicando as opções.

link