|
Keep State (Status halten) Um diese Checkbox bei den Filter-Regeln des WebInterfaces
zu verstehen, muss man sich klarmachen, wie der Verbindungsbau unter dem
TCP-Protokoll abläuft, wobei ich mich bemühe, dies hier stark vereinfacht wiederzugeben:
Der Client, der eine Verbindung zu einem Server aufbauen will, schickt ein
Datenpaket, bei dem das SYN-Flag gesetzt ist und welches eine zufällig gewählte
Sequenznummer (ISN = Initial Sequence Number) enthält. Der angesprochene Server
schickt ein Datenpaket, in dem das ACK- und das SYN-Flag gesetzt sind, das
eine eigene Sequenznummer enthält und welches außerdem die Sequenznummer
des Clienten als Quittung enthält (tatsächlich werden die Sequenznummern bei jeder
Antwort um die Anzahl der übertragenen Datenpakete, mindestens aber um eins,
erhöht).Der Client antwortet wiederum mit einem Datenpaket mit richtiger Sequenzund
Bestätigungsnummer, in dem das ACK-Flag gesetzt ist. Damit ist die Verbindung
aufgebaut. Der Verbindungsabbau kann von beiden Seiten durch ein Paket mit gesetztem
FIN-Flag eingeleitet werden, nachdem der Sendepuffer geleert wurde. Die
Gegenstelle antwortet mit einem Paket mit gesetztem FIN-Flag, leert ebenfalls den
Sendepuffer und versieht das letzte Paket nochmals mit einem FIN-Flag, was der
Auslöser des Verbindungsabbaus mit einem Paket mit gesetztem ACK-Flag quittiert.
Wie man der vorstehenden Beschreibung entnehmen kann, ist jede etablierte Verbindung
über die Sequenznummern, eindeutig identifizierbar (allerdings werden im24
___________________________
Begriffserläuterungen
mer wieder Warnungen veröffentlich, aus denen sich ergibt, dass das Verfahren
missbraucht werden kann, indem Angreifer die ISN ermitteln oder erraten). Mit Keep
State macht sich der Router diese Identifizierungsmöglichkeit zunutze, weil es einfach
keinen Sinn macht, innerhalb derselben Verbindung nur den Anfang haben zu
wollen. Wenn die Keep State-Option gesetzt ist, prüft der Router nur noch das erste
ein- oder ausgehende Datenpaket mittels der Firewall-Regeln. Wenn dieses zugelassen
ist, werden auch alle Folgepakete derselben Verbindung zugelassen. Ist das
erste Paket nach dem Regelsatz zu blocken, gilt dies auch für alle Folgepakete.
|
