访问控制列表和IP分段1

　　前言
　　此白皮书解释这不同的访问控制表(ACL)条目并且什么发生当不同的种类信息包遇到这些多种条目。用于ACLs阻拦IP信息包从被路由器转发。
　　
　　RFC 1858　报道IP段过滤的安全注意事项并且突出显示对介入TCP信息包、微小的碎片攻击和交迭的碎片攻击的IP段的主机的二次攻击。拦截这些攻击是理想的因为他们能攻陷主机，或者阻塞所有其内部资源。
　　
　　RFC 1858　也描述二个方法保卫这些攻击，直接和间接。在直接方法，最小长度小于的初始分段被丢弃。如果开始8个字节原始IP数据报，间接方法介入丢弃片段集的第二个片段。请参阅 RFC 1858　关于更详细的细节。
　　
　　传统上，信息包过滤器类似ACLs被应用于不分片和IP信息包的初始分段因为他们包含第三层和4 ACLs能匹配为允许或拒绝决策的信息。因为他们在信息包，可以被阻拦根据第三层信息非初始片段通过ACL 传统上允许; 然而，因为这些信息包不包含第四层信息，他们在ACL条目不匹配第四层信息，如果存在。因为收到片段的主机不能重新召集原始IP数据报没有初始分段，允许IP数据包的非初始片段通过是可接受的。
　　
　　防火墙可能也使用对阻拦信息包通过维护信息包碎片表源和目的地IP地址、协议和IP标注的ID。Cisco PIX防火墙和 ® Cisco IOS防火墙能过滤特定数据流的所有片段通过维护信息此表，但它是太消耗大的以至于不能执行此在一个路由器为基本的ACL功能。防火墙的主要工作是对阻拦信息包，并且其辅助角色是路由信息包; 路由器的主要工作是路由信息包，并且其辅助

页码：[1] [2] [3] [4] [5] [6] [7] 第1页、共7页

设为首页 | 加入收藏 | 广告服务 | 友情链接 | 版权申明