ip inspect tcp strictness-level
ip inspect tcp strictness-level
Команда ip inspect tcp strictness-level является командой управления состоянием сеанса в системе CBAC. Данная команда используется для задания уровня «жесткости» к различным ситуациям, которые воспринимаются firewall как ошибочные.
Команда с префиксом no устанавливает значение по умолчанию.
Синтаксис ip inspect tcp strictness-level <level> no ip inspect tcp strictness-level | |
level | Значение уровня жесткости, диапазон значений 0-6. |
Значение по умолчанию | 3 |
Режимы команды | Global configuration |
Рекомендации по использованию | Используйте эту команду, чтобы задать максимальное количество TCP-соединений. Данная команда является глобальной настройкой, применяемой для всех сеансов TCP, проверяемых с помощью CBAC. |
В следующей таблице приведены основные отличия в поведении при различных значениях уровня «жесткости». Показана зависимость выполнения таких действий как «уничтожение пакета» и «отказ в изменении состояния соединения» от уровня «жесткости» и результата анализа заголовка TCP-пакета.
Значение | Уничтожение пакета | Отказ в изменении состояния соединения |
0 | Пакеты не уничтожаются firewall. | При некорректном TCP заголовке (проверяется соответствие длины пакета, TCP заголовка, checksum флагов TCP). |
1 | При некорректном TCP заголовке. | При некорректном TCP заголовке. |
2 | При некорректном TCP заголовке. | При некорректном TCP заголовке или при sequence, несоответствующем состоянию партнера. |
3 | При некорректном TCP заголовке. | При некорректном TCP заголовке, или при sequence, несоответствующем состоянию партнера, или при несоответствии флагов заголовка состоянию партнера. |
4 | При некорректном TCP заголовке или при несоответствии флагов заголовка состоянию партнера. | При некорректном TCP заголовке, или при sequence, несоответствующем состоянию партнера, или при несоответствии флагов заголовка состоянию партнера. |
5 | При некорректном TCP заголовке, или при несоответствии флагов заголовка состоянию партнера, или при sequence, несоответствующем состоянию партнера. | При некорректном TCP заголовке, или при sequence, несоответствующем состоянию партнера, или при несоответствии флагов заголовка состоянию партнера. |
6 | При некорректном TCP заголовке, или при несоответствии флагов заголовка состоянию партнера, или при sequence, несоответствующему состоянию партнера, или при приеме SYN для установившегося соединения. Осущевсляется более строгая проверка комбинаций флагов TCP, чем при значении 1. | При некорректном TCP заголовке, или при sequence, несоответствующем состоянию партнера, или при несоответствии флагов заголовка состоянию партнера, или при получении первым пакетом не SYN, или при приеме SYN для установившегося соединения. |
Проверка флагов в TCP заголовке выполняется по всем уровням, от меньшего к большему (к заданному).
Уровень | Некорректные комбинации флагов в TCP заголовке |
0 | • Ни один из флагов FIN, SYN, RST, PSH, ACK, URG не выставлен; • Выставлены все флаги FIN, SYN, RST, PSH, ACK, URG; • Ни один из флагов SYN, RST, ACK не выставлен; • Выставлены оба флага SYN и RST; • Выставлены оба флага FIN и SYN. |
1 | • Выставлены оба флага FIN и RST. |
6 | • Выставлены оба флага SYN и PSH; • Выставлены оба флага SYN и URG; • Выставлены оба флага RST и URG; • Выставлены оба флага FIN и URG. |