Jeśli zablokujesz wszystkie połączenia przychodzące, jak możesz nadal korzystać z Internetu?

Jeśli Twój dostawca usług internetowych lub zapora blokuje wszystkie połączenia przychodzące, w jaki sposób serwery sieciowe mogą nadal wysyłać dane do przeglądarki? Wysyłasz żądanie (wychodzące), a serwer wysyła dane (przychodzące). Jeśli zablokujesz wszystkie przychodzące, jak serwer WWW może zareagować?

Co z transmisją strumieniową wideo i grami wieloosobowymi, w których wykorzystuje UDP? UDP jest bezpołączeniowy, więc nie ma potrzeby ustanowienia połączenia, więc jak zapora sieciowa lub dostawca usług internetowych to obsłuży?

http internet

— Kunal Chopra
źródło

Zablokować wszystkie przychodzące połączenia telefoniczne / Czy przekazywać wszystkie przychodzące połączenia telefoniczne na pocztę głosową? Nie powstrzymuje cię przed wołaniem do kogoś.

— WernerCD

Odpowiedzi:

„Blokada przychodząca” oznacza, że nowe połączenia przychodzące są blokowane, ale ustalony ruch jest dozwolony. Jeśli więc dozwolone są nowe połączenia wychodzące , przychodząca połowa tej rozmowy jest w porządku.

Zapora zarządza tym poprzez śledzenie stanu połączeń (taka zapora jest często nazywana „zaporą stanową”). Widzi wychodzące TCP SYN i pozwala na to. Widzi przychodzące SYN / ACK i może sprawdzić, czy pasuje do wychodzącej SYN, którą widział, przepuszcza je i tak dalej. Jeśli pozwala na potrójny uścisk dłoni (np. Jest dozwolony zgodnie z regułami zapory), zezwoli na tę rozmowę. A kiedy zobaczy koniec tej rozmowy (FIN lub RST), usunie to połączenie z listy pakietów, aby zezwolić.

UDP odbywa się podobnie, chociaż wymaga zapory ogniowej zapamiętywającej wystarczająco dużo, aby udawać, że UDP ma połączenie lub sesję (czego nie ma UDP).

— gowenfawr
źródło

W przypadku UDP, ponieważ nie ma rzeczywistego połączenia, zapora zwykle śledzi docelowy adres IP i port wychodzących pakietów UDP, a jeśli istnieje pakiet przychodzący z tym samym adresem IP i portem jako źródłem, zakłada, że jest to odpowiedź i pozwala w.

— WhiteWinterWolf

@gowenfawr ma obniżony obraz wysokiego poziomu. Pomyślałem jednak, że dodam kilka szczegółów na temat tego, w jaki sposób wykonuje się „dopasowanie” do śledzenia połączenia, ponieważ dla niewtajemniczonych może to brzmieć magicznie.

Każde połączenie TCP ma numer portu z każdej strony. Jak wie większość techników, serwery HTTP działają na porcie 80. Gdy przeglądarka połączy się z serwerem internetowym, poprosi system operacyjny o wygenerowanie „lokalnego” numeru portu, który będzie czymś losowym, takim jak 29672, który nie jest używany przez żaden inny Połączenie TCP z tego komputera (i system operacyjny może to zrobić, ponieważ wie o wszystkich aktywnych połączeniach TCP). Następnie początkowy pakiet instalacyjny TCP zostanie wysłany z adresu IP komputera (IP_YOURS) i numeru portu 29672 na adres IP serwera WWW (IP_WEBSERVER) i numer portu 80. W tym momencie zapora stanowa powie „aha, przyszłe pakiety z portu IP_WEBSERVER 80 idących do portu 29672 IP_YOURS nie są nowymi połączeniami, są odpowiedziami na istniejące połączenie i należy im zezwolić ". Zapory stanowe utrzymują stół,

— Atsby
źródło

Jest to w większości poprawne, ale jako kilka drobnych punktów numery portów zatrzymują się na 65535 (są to 16-bitowe liczby bez znaku), a poza limitem czasu pakiety z ustawionymi flagami FIN lub RST mogą również sygnalizować, że TCP połączenie jest teraz zamknięte.

— reirab

@reirab Oh ups, tak, numer portu zawodzi. Po zamknięciu, oczywiście byłoby możliwe sprawdzenie flag TCP, ale konieczność wzięcia pod uwagę możliwej utraty pakietów i retransmisji bliskich sekwencji jest na tyle skomplikowana, że zakładam, że większość zapór ogniowych po prostu zmienia przeznaczenie ostatnio używanego wpisu tabeli, zamiast utrzymywać śledź dokładnie.

@atsby Czy zawsze możesz edytować swój post i zastąpić numery portów czymś bardziej odpowiednim?

Wszystkie te informacje są świetne. Chciałem tylko dodać jedną rzecz do portów omówionych w powyższych komentarzach. Nazywa się je „efemerycznymi portami”, a ich zasięg jest określony przez jądro właściwe dla każdego systemu operacyjnego. W systemie Linux można je uzyskać za pomocą „cat / proc / sys / net / ipv4 / ip_local_port_range” --- domyślny zakres to „32768 do 61000”

— Arul Selvan