[欢迎进入讨论] 关于syn-proxy的一些问题

dreamice

原帖由 Godbach 于 2009-3-13 16:52 发表
应该是最近发布的内核版本中正式支持透明代理的吧。

像偶这样不怎么跟踪内核发展的人，是难以知道这些情况的。向dreamice兄学习啊

我干无聊的事情

dreamice

原帖由 Godbach 于 2009-3-13 16:57 发表
那在内核2。6.28版本之前，是不是需要实现syn-proxy的，就类似于我说的那种方式啊

不太清楚，应该有补丁支持的

dreamice

原帖由 richardhesidu 于 2009-3-13 17:01 发表

内核可以完全实现透明代理，不需要象squid这样的程序协助吗？
前面你说的听起来像是nat，又感觉不是。还请教。

这里要澄清一下，内核只是支持透明代理。
这种代理，肯定是应用层做的事情了，所以，必须要有应用层的软件实现代理才行。
我不知道是不是可以在内核来实现这个代理，理论上是可以的吧。

dreamice

原帖由 Godbach 于 2009-3-16 11:15 发表


看来抗synflood和conntrack他俩之间的关系很紧密啊。要是想减轻conntrack的负载，就要在它之前做synflood的防御。如果向方便快捷的实现防御synflood，最好利用conntrack。 唉，矛盾啊

synflood和syncookie机制是不是差不太多？

dreamice

原帖由 独孤九贱 于 2009-3-16 13:38 发表
楼上的，你让给服务器的syn请求穿过netfilter连接跟踪表（事实上，如何是使用netfilter的状态跟踪，而不是自己来实现，也应该这样做），这个信息不就有地方存储了吗？

我比较赞同这种利用已有机制的实现方式，风险小，而且可行性要好一些。
本身netfilter的contrack机制就是比较好的。

dreamice

我觉得，用透明代理的话，就没必要搞那么复杂的考虑了

dreamice

原帖由 ShadowStar 于 2009-3-17 10:47 发表


透明代理的问题如下：
1。防火墙本身为网络瓶颈。在大流量攻击下是否能抗得住？
2。代理本身屏蔽了原始client的IP，导致服务器本身没有真实的访问记录。

问题1确实存在；
问题2不存在