请教防火墙性能

JohnBull

原帖由 "hutuworm" 发表：

Linux和windows把TCP栈代码抄过来

谁告诉你的？你自己看过源代码吗？
抄过去的TCP指纹怎么会不一样？

因为协议内容是一样的，实现当然可能有些近似。

JohnBull

原帖由 "hutuworm" 发表：
不过sai说的也有一定道理
买现成的商业系统可能成本比雇佣一位Linux防火墙专家来配置一套自由软件搭配组合的防火墙要低

为什么不想自己成为防火墙专家？Linux就是捷径！

bingocn

原帖由 "JohnBull" 发表：


谁告诉你的？你自己看过源代码吗？
抄过去的TCP指纹怎么会不一样？

因为协议内容是一样的，实现当然可能有些近似。

牛啊，怪不得用牛头做头像呢  :wink:
“TCP指纹”是什么东西？可以讲讲吗？第一次听

JohnBull

原帖由 "bingocn" 发表：


牛啊，怪不得用牛头做头像呢  :wink:
“TCP指纹”是什么东西？可以讲讲吗？第一次听

那不是牛，是角马(Gnu)，是GNU组织的LOGO。我的目的就是不遗余力地推广Linux！

TCP指纹指的是某个OS对于某些特殊TCP报文特有的处理方法。
正常情况下应该都一样（参考TCP状态转移图），但是我们如果给一个TCP层发一个特殊的报文的话(比如向一个已经建立连接的套接字发送一个带有ACK的报文，甚至是SYN+FIN的病态报文等等)，对方的响应就会因代码的差异而有所不同。根据这种细微的差异，我们就可以判断出对端的OS类型。
因为Win98和WIN NT4的TCP指纹完全一致，很多人都怀疑NT4的TCP代码与98的完全一样，但是M$不公开代码，没发证实。
著名的扫描软件nmap就是这样工作的。e4gle那里有nmap的手册。

bingocn

原帖由 "JohnBull" 发表：


那不是牛，是角马(Gnu)，是GNU组织的LOGO。我的目的就是不遗余力地推广Linux！

TCP指纹指的是某个OS对于某些特殊TCP报文特有的处理方法。
正常情况下应该都一样（参考TCP状态转移图），但是我们如果给一?.........

谢谢，又懂了一些，还知道了角马是羚羊的一种 ：）

以前听说过根据对特殊的包的返回数据，可以对对方操作系统进行判断。那么linux通过修改底层的一些TCP流程，应该可以让对方判断不了我们的OS的。呵呵

wolfop

[quote]原帖由 "sai" 发表：

楼上说的没错，所以我个人不推荐使用三星的产品。
不过，不知道JohnBul兄有没有想过，你说使用Linux来实现防火墙的功能，我最近也查了一些资料，Linux确实可以实现防火墙的部分功能，但是Linux毕竟是个系统，如

sai

原帖由 "JohnBull" 发表：


对此我有2个问题：
1 你说Linux可以实现防火墙的“部分”功能，究竟是哪些功能没有实现呢？
2 你说Linux是个系统，那么究竟哪个产品中没有一个系统软件，而纯粹由DSP实现的呢？你提到的漏洞问题在其它系统上就?.........

呵呵，好的。
我的意思是说，系统内核的开放性，Linux系统的内核是开放的，那么就很难避免被黑客从内核里面找漏洞。
如果是商家自己开发的系统，那么其内核是不对外界开放的，那么黑客就很难找到漏洞。

sai

原帖由 "JohnBull" 发表：


为什么不想自己成为防火墙专家？Linux就是捷径！

呵呵，如果所有人是能成为防火墙专家的话，那netscreen、fortinet、三星、安氏等网络安全的公司就没法活了。。。

JohnBull

原帖由 "sai" 发表：


呵呵，好的。
我的意思是说，系统内核的开放性，Linux系统的内核是开放的，那么就很难避免被黑客从内核里面找漏洞。
如果是商家自己开发的系统，那么其内核是不对外界开放的，那么黑客就很难找到漏洞。

思路错误！
首先世界上并没有绝对的保密，所谓的“不公开”，实际上意味着“只有少数人掌握”，也就是说程序员想在里面放什么代码就放什么代码，厂家想偷偷干什么就偷偷干什么，谁也不知道代码中到底有多少见不得阳光的东西。
而开源则不然，开源代码本身基本就是黑客级的人物写出来的，而且会有无数象e4gle这样的高手在那里鸡蛋里挑骨头和打补丁，恰恰是开源才最安全！

而且作为一个工程师应该明白：“有漏洞并不可怕，不知道有没有漏洞才最可怕”!

JohnBull

原帖由 "sai" 发表：


呵呵，如果所有人是能成为防火墙专家的话，那netscreen、fortinet、三星、安氏等网络安全的公司就没法活了。。。

此言差矣！
要想搞网络(包括安全)，必须立志成为专家，否则只能一辈子让人家牵着鼻子走，一辈子最多成了一个XX产品应用高手，给人家做了嫁衣裳而已。

至于那些产品，我的观点不是说不能用，而是说在你自己还没明白网络安全的基本原理的时候，用了那些产品反而会造成麻痹大意，适得其反。

难道不知道网络安全的大忌就是过分依赖于产品吗？？？