আমি প্রায়শই নিয়মটি -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPTপ্রয়োগ করতে দেখেছি । যদিও আমি বিশেষজ্ঞ নই, সেই নির্দিষ্ট লাইনটি আমাকে উদ্বেগ দেয়। এটি অত্যন্ত সুস্পষ্ট যে নিয়মটি সমস্ত ট্র্যাফিককে একমাত্র ব্যতিক্রমযুক্ত মঞ্জুরি দেয় যে সংযোগটি প্রতিষ্ঠিত হয়েছে বা কোনও প্রতিষ্ঠিত সংযোগের সাথে সম্পর্কিত।
দৃশ্যপট
- আমি
22সাবনেট192.168.0.0/16বা যে কোনও কিছুতে সার্ভার ল্যান থেকে ডিফল্ট এসএসএইচ পোর্টের সংযোগগুলি অনুমতি দেব । SuperInsecureApp®বন্দরে এমন কিছু প্রকাশ করে1337যা আমি আমারINPUTশৃঙ্খলে যুক্ত করি।- আমি জুড়েছেন
conntrackনিয়ম মেনে নিতেESTABLISHEDএবংRELATEDথেকে সব সূত্র - চেইন নীতি হচ্ছে
DROP
সুতরাং মূলত সেই কনফিগারেশনটি কেবল ল্যান থেকে এসএসএইচ-সংযোগের অনুমতি দেয়, যদিও বিশ্ব থেকে 1337 পোর্টে অন্তর্মুখী ট্র্যাফিকের অনুমতি দেয়।
এখানেই আমার বিভ্রান্তি ফোটে। কী conntrackকোনও উপায়ে কোনও সুরক্ষার ত্রুটিটি প্রকাশ করতে পারে যা কাউকে ১৩৩ on এ প্রতিষ্ঠিত সংযোগ পেতে দেয় (যেহেতু এটি বিশ্ব উন্মুক্ত), এবং তারপরে এসএসএইচ বন্দরের অ্যাক্সেস পেতে (বা অন্য কোনও বন্দর) এই সংযোগটি ব্যবহার করবে?