Vlákno názorů k článku Nebezpečné TCP? od Luk - Pokud vím, na ochranu před tímto útokem na...

Pokud vím, na ochranu před tímto útokem na routery lze používat (a také se někdy používá) tzv. TTL hack (myslím, že o tom už byl tady na Lupě článek). Ten eliminuje pakety přicházející z příliš vzdálených míst.

no nechapu to - taky jsem nekde cetl clanek, ze konec internetu nehrozi protoze ttl..

ze by to nebylo na lupe?

TTL hack, tedy, ze router nastavi sve TTL na 255 a akceptuje pouze packety s TTL 255-254 je znacnym vylepsenim, ktere ISP castecne ochrani. Nicmene na sdilenych segmentech peeringovych center (jako je treba NIX.CZ) to 100% ochranu nezarucuje.

http://www.pooh.cz/jirka/a.asp?a=2009477&db=
http://www.pooh.cz/jirka/a.asp?a=2009522&db=

Ze by postupne odkryvani problemu CZ NIXu...;-)

Nicmene pokud neni ISP uplne padly na hlavu a nezacne pripojovat sve zakazniky primo na pater a jeho linka do NIXu jde skutecne pres realne viditelny router (tedy 1 hop, nikoli nejaky obskurtni tunel), pak pokud je TTL 255, musi se snizit prave o 1 (predpokladam, ze vice sekund to zpracovavat nebude) a zadny zaskodnik (pokud to neni primo dalsi ISP, coz lze jednoduse eliminovat) NEMA sanci tuto seanci ropzojit.

Na druhou stranu, s prihlednutim k infrastrukturam ISP si troufam tvrdit, ze je to jednak zamerne nadhonoceny problem (kdo to rozdmychava je jasne), jednak si za to mohou ISP sami a sami si kaleji do klina... - jako marketingovy nastroj se v CR obcas naprosto nemyslne pouziva - podivejte se, Vase pripojeni je tesne NIXu, nas server lezi 1 hop od NIXu, jsme primo v NIXu - ano vsechno toto jsem od ceskych slovutnych ISP jiz slysel. Zajimave je, ze opravdu velci ISP se nestydi cestu prohnat treba pres 5 hopu, kde delay je par ms (do deseti), zatimco cesti ISP na hopu naberou klidne 150ms, ale hlavne, ze maji 1 hop...

Takze si myslim, ze popsanemu problemu v souvislosti s BGP lze celit vcelku jednoduse - topologie site a TTL.

Hm ... Pokud ma nekdo za to, ze problemy ethernetove infrastruktury jsou ted postupne odhalovany, tak prave zjistil, o cem ethernet je :-)

Stejny problem maji vsecha peeringova centra, ktera na ethernetu bezi.

Ja samozrejme nevim, jak zpivaji (brnensti) obchodnici ISP pri lapani zakazniku, nicmene realita je, alespon u tech skutecne velkych (samozrejme vcetne ceskych) ISP, jina.