Vlákno názorů k článku Nebezpečné TCP? od Michal Krsek - Hm ... Pokud ma nekdo za to, ze...

Hm ... Pokud ma nekdo za to, ze problemy ethernetove infrastruktury jsou ted postupne odhalovany, tak prave zjistil, o cem ethernet je :-)

Stejny problem maji vsecha peeringova centra, ktera na ethernetu bezi.

Ja samozrejme nevim, jak zpivaji (brnensti) obchodnici ISP pri lapani zakazniku, nicmene realita je, alespon u tech skutecne velkych (samozrejme vcetne ceskych) ISP, jina.

Ze by postupne odkryvani problemu CZ NIXu...;-)

Nicmene pokud neni ISP uplne padly na hlavu a nezacne pripojovat sve zakazniky primo na pater a jeho linka do NIXu jde skutecne pres realne viditelny router (tedy 1 hop, nikoli nejaky obskurtni tunel), pak pokud je TTL 255, musi se snizit prave o 1 (predpokladam, ze vice sekund to zpracovavat nebude) a zadny zaskodnik (pokud to neni primo dalsi ISP, coz lze jednoduse eliminovat) NEMA sanci tuto seanci ropzojit.

Na druhou stranu, s prihlednutim k infrastrukturam ISP si troufam tvrdit, ze je to jednak zamerne nadhonoceny problem (kdo to rozdmychava je jasne), jednak si za to mohou ISP sami a sami si kaleji do klina... - jako marketingovy nastroj se v CR obcas naprosto nemyslne pouziva - podivejte se, Vase pripojeni je tesne NIXu, nas server lezi 1 hop od NIXu, jsme primo v NIXu - ano vsechno toto jsem od ceskych slovutnych ISP jiz slysel. Zajimave je, ze opravdu velci ISP se nestydi cestu prohnat treba pres 5 hopu, kde delay je par ms (do deseti), zatimco cesti ISP na hopu naberou klidne 150ms, ale hlavne, ze maji 1 hop...

Takze si myslim, ze popsanemu problemu v souvislosti s BGP lze celit vcelku jednoduse - topologie site a TTL.

http://www.pooh.cz/jirka/a.asp?a=2009477&db=
http://www.pooh.cz/jirka/a.asp?a=2009522&db=

TTL hack, tedy, ze router nastavi sve TTL na 255 a akceptuje pouze packety s TTL 255-254 je znacnym vylepsenim, ktere ISP castecne ochrani. Nicmene na sdilenych segmentech peeringovych center (jako je treba NIX.CZ) to 100% ochranu nezarucuje.

no nechapu to - taky jsem nekde cetl clanek, ze konec internetu nehrozi protoze ttl..

ze by to nebylo na lupe?

Pokud vím, na ochranu před tímto útokem na routery lze používat (a také se někdy používá) tzv. TTL hack (myslím, že o tom už byl tady na Lupě článek). Ten eliminuje pakety přicházející z příliš vzdálených míst.