Исходное сообщение
"Обновление iptables 1.4.14 и conntrack-tools 1.2" Отправлено Аноним, 28-Май-12 15:46
Во-первых, теперь можно независимо задавать настройки conntrack для разных соединений, причем выбор соединений возможен с помощью всех инструментов, доступных в таблице raw (включая ipset). Одно из наиболее очевидных применений - борьба с (D)DoS атаками (для подозрительных источников задаются небольшие таймауты). Также можно сокращать значения таймаутов (и соответственно уменьшать расход ресурсов) на основе информации о топологии сети и задержках (для подсетей с малым временем пинга таймауты можно задавать поменьше). Во-вторых, теперь поддерживается синхронизация ожиданий. Это важно при организации кластерных фаерволов, которые должны пропускать соединения по протоколам, использующим связанные соединения (например, FTP). В частности, если срезу после передачи PASV от клиента на удаленный сервер, активная нода кластера ушла в даун, есть шансы, что сменщик уже будет знать о соединении данных и корректно пропустит его (без синхронизации ожиданий это соединение в такой ситуации было бы заблокировано без вариантов).