[LUGOS-SEC] POP3 in firewall

[Gorazd Bozic]

Nejc Skoberne wrote:

> Ko se s klientom, ki ima firewallan auth port pop3-jam na server,
> traja kaksnih 4-5 sekund, da se pop3 session vzpostavi. Kot je
> razbrati iz zgornjega tcpdump loga je videti, da je ta cas porabljen,
> ko pop3 streznik hoce na 3x priti na auth port od klienta (ce port ni
> firewallan, je delay zelo majhen, ker hitro rece "connection refused"
> in v tem primeru ni tezav). Tudi ce nastavim firewall da auth port ne
> DROPa ampak REJECTa, se zgodi isto (zakaj pa?).

Tu imas tri mozne scenarije za zavrnitev povezave:

1. FW ignorira paket (DROP)
2. FW poslje nazaj ICMP destination port unreachable (mogoce to naredi
   pri REJECT)
3. Ciljna masina poslje RST paket nazaj, ko prejme SYN paket

Lahko da samo v tretjem primeru sigurno pride do takojsnje "Connection
refused". Preveri s tcpdump in bos videl, ce FW poslje nazaj ICMP paket.

LP, Gorazd

-- 
Gorazd Bozic <gorazd.bozic at arnes.si>
ARNES SI-CERT, Jamova 39 p.p. 7, SI-1001 Ljubljana, Slovenia
tel: +386 1 479 88 22, fax: +386 1 479 88 99