list. Unfortunately, basing the pol

list. Unfortunately, basing the policy on external addresses provides no protection
against datagrams that have had their source addresses spoofed.
Filtering can also be based on whether or not the TCP ACK bit is set. This trick
is quite useful if an organization wants to let its internal clients connect to external
servers but wants to prevent external clients from connecting to internal servers.
Recall from Section 3.5 that the first segment in every TCP connection has the ACK
bit set to 0, whereas all the other segments in the connection have the ACK bit set to
1. Thus, if an organization wants to prevent external clients from initiating connections to internal servers, it simply filters all incoming segments with the ACK bit set
to 0. This policy kills all TCP connections originating from the outside, but permits
connections originating internally.
Firewall rules are implemented in routers with access control lists, with each
router interface having its own list. An example of an access control list for an
organization 222.22/16 is shown in Table 8.6. This access control list is for an
interface that connects the router to the organization’s external ISPs. Rules are
applied to each datagram that passes through the interface from top to bottom. The
first two rules together allow internal users to surf the Web: The first rule allows any
TCP packet with destination port 80 to leave the organization’s network; the second rule allows any TCP packet with source port 80 and the ACK bit set to enter
the organization’s network. Note that if an external source attempts to establish a
TCP connection with an internal host, the connection will be blocked, even if the
source or destination port is 80. The second two rules together allow DNS packets
to enter and leave the organization’s network. In summary, this rather restrictive
access control list blocks all traffic except Web traffic initiated from within the
organization and DNS traffic. [CERT Filtering 2012] provides a list of recommended port/protocol packet filterings to avoid a number of well-known security
holes in existing network applications.

Kết quả (Việt) 1:

danh sách. Thật không may, căn cứ các chính sách về các địa chỉ bên ngoài cung cấp không có bảo vệĐối với các gói mà đã có các địa chỉ nguồn giả mạo.Lọc cũng có thể được dựa trên hay không bit TCP ACK được thiết lập. Thủ thuật nàylà khá hữu ích nếu một tổ chức muốn cho khách hàng nội bộ kết nối với bên ngoàimáy chủ nhưng muốn để ngăn chặn khách bên ngoài kết nối với máy chủ nội bộ.Thu hồi phần 3,5 đoạn đầu tiên trong mỗi kết nối TCP có ACKĐặt là 0, trong khi tất cả các phân đoạn khác trong các kết nối có ACK bit bit thiết lập1. vì vậy, nếu một tổ chức muốn ngăn không cho các khách hàng bên ngoài bắt đầu kết nối đến các máy chủ nội bộ, nó chỉ đơn giản là bộ lọc tất cả các phân đoạn với ACK bit set0. Chính sách này giết chết tất cả các kết nối TCP có nguồn gốc từ bên ngoài, nhưng giấy phépkết nối có nguồn gốc từ trong nội bộ.Quy tắc tường lửa được thực hiện trong các router với danh sách điều khiển truy cập, với mỗigiao diện của bộ định tuyến có danh sách riêng của mình. Một ví dụ về một danh sách kiểm soát truy cập cho mộttổ chức 222.22/16 được thể hiện trong bảng 8.6. Danh sách điều khiển truy cập này là dành cho mộtgiao diện kết nối router với các tổ chức bên ngoài ISP. Quy tắcáp dụng cho mỗi datagram đi qua giao diện từ trên xuống dưới. Cáclần đầu tiên hai quy tắc với nhau cho phép các người dùng nội bộ để lướt Web: quy tắc đầu tiên cho phép bất kỳTCP gói với điểm đến cổng 80 để lại mạng của tổ chức; quy tắc thứ hai cho phép bất kỳ gói TCP với nguồn cổng 80 và bit ACK thiết lập để nhậpmạng của tổ chức. Lưu ý rằng nếu một nguồn bên ngoài cố gắng thiết lập mộtTCP các kết nối với một máy chủ nội bộ, kết nối sẽ bị chặn, thậm chí nếu các80 là cổng nguồn hoặc đích. Thứ hai hai quy tắc với nhau cho phép gói tin DNSnhập vào và rời khỏi mạng của tổ chức. Tóm lại, này khá hạn chếdanh sách điều khiển truy nhập khối lưu lượng truy cập tất cả ngoại trừ lưu lượng truy cập Web bắt đầu từ bên trong cáctổ chức và lưu lượng truy cập DNS. [CERT lọc 2012] cung cấp một danh sách các đề nghị cảng/giao thức gói dữ liệu filterings để tránh một số bảo mật nổi tiếnglỗ hổng trong ứng dụng mạng hiện có.

Kết quả (Việt) 2:

danh sách. Thật không may, căn chính sách về địa chỉ bên ngoài không cung cấp bảo vệ
chống lại các gói dữ liệu đã có địa chỉ nguồn của họ giả mạo.
Lọc cũng có thể dựa vào việc có hay không các bit TCP ACK được thiết lập. Thủ thuật này
khá hữu ích nếu một tổ chức muốn để cho khách hàng nội bộ của mình kết nối với bên ngoài
máy chủ nhưng muốn ngăn chặn khách hàng bên ngoài từ các kết nối đến các máy chủ nội bộ.
Nhớ lại từ Phần 3.5 rằng các phân đoạn đầu tiên trong mỗi kết nối TCP đã ACK
bit thiết lập là 0, trong khi tất cả các phân đoạn khác trong việc kết nối có ACK bit thiết lập để
1. Như vậy, nếu một tổ chức muốn để ngăn chặn khách hàng bên ngoài từ bắt đầu kết nối đến các máy chủ nội bộ, nó chỉ đơn giản là lọc tất cả các phân khúc đến với ACK bit đặt
về 0. Chính sách này giết chết tất cả các kết nối TCP có nguồn gốc từ bên ngoài, nhưng cho phép
các kết nối có nguồn gốc nội.
Quy tắc tường lửa được thực hiện trong các bộ định tuyến với danh sách kiểm soát truy cập, với mỗi
giao diện router có danh sách riêng của mình. Một ví dụ về một danh sách kiểm soát truy cập cho một
tổ chức 222,22 / 16 được thể hiện trong Bảng 8.6. Danh sách kiểm soát truy cập này là cho một
giao diện kết nối router để các ISP bên ngoài của tổ chức. Quy định được
áp dụng cho mỗi gói tin đi qua giao diện từ trên xuống dưới. Các
quy tắc hai đầu lại với nhau cho phép người sử dụng nội bộ để lướt web: Nguyên tắc đầu tiên cho phép bất kỳ
gói tin TCP với điểm đến cổng 80 để lại mạng của tổ chức; các quy tắc thứ hai cho phép bất kỳ gói tin TCP với cổng nguồn 80 và bit ACK được để vào
mạng của tổ chức. Lưu ý rằng nếu một nguồn bên ngoài cố gắng để thiết lập một
kết nối TCP với một máy chủ nội bộ, kết nối sẽ bị chặn, ngay cả khi
nguồn hoặc port đích là 80. Hai quy tắc thứ hai cùng cho phép các gói tin DNS
vào và rời mạng của tổ chức. Tóm lại, điều này khá hạn chế
danh sách các khối điều khiển truy cập tất cả lưu lượng trừ lưu lượng web bắt đầu từ bên trong
tổ chức và DNS giao thông. [CERT Lọc 2012] cung cấp một danh sách các filterings cổng / giao thức gói khuyến khích để tránh một số bảo mật nổi tiếng
lỗ hổng trong ứng dụng mạng hiện có.