Mailinglist Archive: opensuse-es (838 mails)

["Victor Hugo dos Santos" <listas.vhs@xxxxxxxxx>]

El 18/08/06, Carlos E. R.<robin.listas@xxxxxxxxxxxxxx> escribió:
> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
>
>
> El 2006-08-18 a las 17:25 +0200, Jordi Espasa Clofent escribió:
>
> > > No se si debiera usar DROP en vez de REJECT :-?
> >
> > Pues según los manuales teóricos siempre es mejor DROP, ya que simplemente, no
> > responde a nada. Por su parte REJECT no permite entrada, claro está, pero
> > contesta con un "no puedes", por así decirlo. DROP se mantiene en silencio y
> > ello se considera más seguro.
> >
> > O al menos eso tengo entendido; sino que alguien nos corrija.
>
> Así lo entiendo yo. La cuestión era si, en esa regla del cortafuegos, que
> es mejor usar. Se puede considerar que el otro lado ya sabe que existimos,
> puesto que intenta entrar con ssh varias veces: es cuando nos hemos dado
> cuenta que está probando varias veces seguidas (intentos contestados)
> cuando le rechazamos y le mandamos a paseo. Puede que reject sea lo
> adecuado en este caso.

se utilizamos en la regla la opcion DROP.. los paquetes que envia el
"atacante" no obtendran respuesta de entrega o error y el "atacante"
intentara una vez.. y otra .. y otra hasta que se temine el TTL (o se
aburra)...  o tenga una opcion de "timeout" en el script

en el caso de utilizar el REJECT, vuestro FW ira enviar un paquete de
respuesta al "atacante" informando que los paquetes estan siendo
rechazados ..  y en este caso ya no seguira intentando enviar este
mismo paquete.

la diferencia en este caso, es que la primera "podra" generar mas
trafico desde el atacante hasta vuestra maquina, pero por otro lado,
tambien puede que relentelize (mmmm.. quiero expresar que "funcionara
mas lento" en espanol) la quantidad de ataques (combinacion de
usuario/contrasenas) ya que quedara esperando por una respuesta.

y en el segundo caso... se disminuira la cantidad de trafico desde el
atacante hasta vuestra maquina.. pero, "talvez" aumentara la cuantidad
de ataques (usuario/contrasena) hacia vuestra maquina.

mmm. creo que el ideal, seria que cada uno provara que le funciona
mejor.. en mi caso, me quedo con DROP.

salu2

--
--
Victor Hugo dos Santos
Linux Counter #224399