Omezení TCP na jeden směr v IPtables

[JBB]

Jak nastavit iptables aby chodily TCP data (payload) jen jedním směrem? Zpět jen ACK.

[Reklama]

[Filip Jirsák]

To nejde, z principu TCP/IP. ACK může být nastaveno i na paketu, který obsahuje data. Leda byste to chtěl kontrolovat tak, že budete zahazovat i pakety s daty, které mají ACK. Ale hlavně mi připadá divný ten váš požadavek. Co tím chcete řešit?

[_Jenda]

Napiš si user-space TCP proxy (v Pythonu na pár řádek: posloucháš na portu, když přijde spojení, otevřeš spojení do cíle a přeposíláš data - jedním směrem) a přesměruj to na ni pomocí iptables redirectu (iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT, nebo https://my.esecuredata.com/index.php?/knowledgebase/article/49/how-to-redirect-an-incoming-connection-to-a-different-ip-address-on-a-specific-port-using-iptables/).

[johanson14]

Voľakedy dávno sme požadovanú vlastnosť robili feritovou perlou na Tx páre. Fungovalo to perfektne.

[_Jenda]

Voľakedy dávno sme požadovanú vlastnosť robili feritovou perlou na Tx páre. Fungovalo to perfektne.

Tak to máte na Slovensku husté ferity, ty české paket co obsahuje pouze ACK poznat neumí 

[Reklama]

[JBB]

Voľakedy dávno sme požadovanú vlastnosť robili feritovou perlou na Tx páre. Fungovalo to perfektne.

LOL
Ferit na páru (obou vodičích) spíše zlepší příjem neboť brání průniku rušení.
A v otázce bylo jen TCP a ACK aby chodilo, takže "utržením" tx to nejde. BTW se eth po jednom páru ani nespojí (tedy mimo BASE-T1).
No asi to jen tak nejde, omezením velikosti paketů by to asi fungovalo jen do doby než přijde nějaký payload, protože by se zahodil paket pravděpodobně s ACK na payload v opačném směru a pak by se po neúspěšných retransmisích rozpadlo spojení.
No, nejjednodušší bude v dané aplikaci rozvětvit směr na jiný port a ten blokovat.
Ale i tak dík.

[M_D]

Asi chce tazatel realizovat jednosměrný přenos a hlídat firewallem uprostřed, že tomu opravdu tak je a ušetřit nějaký peníz (se podívejte, za kolik prodávají různé průmyslové firewally s funkcí "datová dioda" :-) )?
Tak pokud je ten protokol takový, že se jen naváže TCP spojení, začnou posílat data jedním směrem a druhým nic nejde, tak to udělat jde a firewallem omezit půjde (hlídat, že payload je 0). Pokud už na úrovni TCP jdou data oběma směry, tak to bez zkoumání vyšších vrstev neudělá.

[_Jenda]

Asi chce tazatel realizovat jednosměrný přenos a hlídat firewallem uprostřed, že tomu opravdu tak je a ušetřit nějaký peníz (se podívejte, za kolik prodávají různé průmyslové firewally s funkcí "datová dioda" :-) )?

Každopádně pokud to dělá proto, že se bojí, že zařízení na druhé straně bude aktivně exfiltrovat data, tak tohle není dobré řešení, protože se data můžou vynášet třeba časováním těch ACKů nebo fejkováním ztracených paketů a následnou retransmisí.