[欢迎进入讨论] 关于syn-proxy的一些问题

richardhesidu

原帖由 clusterlee 于 2009-4-12 22:10 发表
richardhesidu 兄的规则应该是用来 控制对哪些包进行 proxy的吧。

还有建议不用conntrack做连接维护，conntrack 的效率不是很高，如果使用proxy 做防火墙的话，最好采用高效的数据结构，可以参考现有的IP 流 ...

是的，用来设置地址，端口，最大半开连接数，半开连接超时时间。

我也怀疑ip conntrack的效率，现阶段先实现再说，不行的话再换其他算法。

我用NF_HOOK(PF_INET, NF_IP_LOCAL_OUT, skb, NULL, nskb->dst->dev, dst_output);
发包。

Godbach

原帖由 richardhesidu 于 2009-4-13 11:43 发表

是的，用来设置地址，端口，最大半开连接数，半开连接超时时间。

我也怀疑ip conntrack的效率，现阶段先实现再说，不行的话再换其他算法。

我用NF_HOOK(PF_INET, NF_IP_LOCAL_OUT, skb, NULL, nskb->ds ...

如果是PREROUTING出拦截到的SYN包，不用再从LOCAL_OUT发包出去吧

clusterlee

原帖由 clusterlee 于 2009-4-12 22:10 发表
richardhesidu 兄的规则应该是用来 控制对哪些包进行 proxy的吧。

还有建议不用conntrack做连接维护，conntrack 的效率不是很高，如果使用proxy 做防火墙的话，最好采用高效的数据结构，可以参考现有的IP 流 ...

对于SYN Cookie选项的问题，上次说错了，纠正下。 最新内核是通过时间戳选项里的回显字段来保存窗口扩大因子以及SACK 的。具体的补丁代码在这：http://lwn.net/Articles/277219/

wsgtrsys

大家可以参考下SYN Cookies Firewall的源码。
不过它是基于linux 2.2的。
下载地址是：

Godbach

多谢LS分享

clusterlee

经过两个月的努力 终于在 linux2.6.23下完成了syn cookie防火墙，不过毕竟是新手，代码质量不敢保证，其中参考了两个开源项目一个是 TCP splicing 还有一个 syn cookie firewall。

大致方法如下：

1.使用哈希表进行连接信息的记录。

2.由于考虑模块特性以及对NAT的支持（为了支持NAT还提取了连接跟踪表中的内容，记录在自己的哈希表中），定义了两个钩子NF_IP_PRE_ROUTING出和NF_IP_POST_ROUTING处，优先级分别为NF_IP_PRI_FIRST和NF_IP_PRI_LAST

3. cookie算法未作改动，由内核里直接copy.




其中碰到一个问题，花了较长的时间。这里分享下。

暂且把这个问题叫做 “丢掉的HTTP 请求包”。描述如下：

在刚刚完成代码进行测试（开启防御，访问百度，把百度当作保护对象）的时候发现，每次页面的呈现都将延迟3秒，而后使用此连接浏览网页很快。

经过多次调试发现原来是在cookie验证后，客户端其实会很快的发出HTTP请求包，而这时我的代码正在处理第二段与服务端得连接，直接把它丢弃了。然后浏览器3秒后重发此HTTP请求包，此时连接建

立完成，自然页面就出来了。 解决办法很简单，缓存住这个丢掉的HTTP请求吧，在第二段连接完成时立即发送即可。


感谢各位的帖子，毕设代码终于完成了

Godbach

然后浏览器3秒后重发此HTTP请求包，此时连接建

立完成，自然页面就出来了。 解决办法很简单，缓存住这个丢掉的HTTP请求吧，在第二段连接完成时立即发送即可。

这个地方是否在不同的IE上都测试了，经过3秒在发出HTTP GET请求，是否返回的页面还可以呈现在IE上？

platinum

原帖由 Godbach 于 2009-8-25 17:57 发表


这个地方是否在不同的IE上都测试了，经过3秒在发出HTTP GET请求，是否返回的页面还可以呈现在IE上？

这不是 IE 或其他浏览器的特性，这是 TCP 协议栈的重传特性

Godbach

是的。

Godbach

今天也正好遇到重传的这个问题，查了一下TCP/IP 详解卷1，从TCP重传开始，到发送RST信号之间的间隔时间大约有9分钟时间。