请问目前是否还有一些比较常用的tcp/ip应用层协议会使用ip分片？

colddawn

服务器放在公网上，百兆以太网接入，网卡MTU默认的1500。
最近发现经常会收到一些udp/icmp的frag包洪水攻击，想通过设置前面交换机acl把这些ip分片直接丢弃。
据本人经验现在应用层协议很少会发出长度超大的包导致ip分片了吧？如果我这样设置会不会有服务受到影响？

colddawn

自己顶一下，没有人肯指点一二么？

ccie15766

先加一条permit ... fragments，看一下这条ACL的hits，然后再考虑屏蔽。
不正确的屏蔽fragments会导致TCP效率的大幅下降。

ayazero

OS 内核栈的漏洞，patch过就没事

playmud

ie?

colddawn

楼上各位可能没明白我的意思？
我的意思是在正常以太网接入情况下，mtu应该是1500，在此种条件下有没有可能有某些比较常见的应用层协议会发出或接收长度较大的ip包导致ip分片的？如果没有或者是很偏门的某些协议，那我就从防火墙上deny掉所有ip frag了，因为就我目前来看，发到服务器的frag包大多是一些堆栈溢出和udp frag flood之类的东西。

colddawn

原帖由 ayazero 于 2006-7-5 16:22 发表
OS 内核栈的漏洞，patch过就没事

我确认自己服务器是没有ip 分片漏洞的，关键问题是可能某段时间有某些烂人经常发起大流量的udp frag flood，虽然不至于影响服务器，但拖慢了整体网络，所以想在出口卡掉，但由于对方是发往随机端口的，因此如果要屏蔽，估计只能屏蔽所有ip分片，现在是要评估这么做可能带来哪些副作用。