Vlákno názorů k článku
Závažná zranitelnost linuxového jádra dovoluje na dálku způsobit kernel panic od j - "linuxového firewallu, který sestavuje IP packety" Vazne?

..." FORWARD chainem filter tabulky vždycky prochází už sestavený packet bez ohledu na to, zda byl fragmentován"

Vazne? A ja zil v tom, ze routery pakety rozhodne nesestavujou, pokud jsou fragmentovany, jako ze pokud vim, tak v IPv6 dokonce routery ani pakety nefragmentujou, pokud neprojdou, tak jen poinformujou odesilatele.

Vubec nemluve o tom, ze netfilter kupodivu vubec nemusi byt skompilovan a tudiz vubec nemusi na danym stroji existovat ... a presto kupodivu sitovani funguje.

Pro doplnění: Mluvím o případě, kdy máte nahrané moduly pro connection tracking. Pak se virtual reassembly dělá:

http://www.netfilter.org/documentation/HOWTO/packet-filtering-HOWTO-7.html říká:

If you are doing connection tracking or NAT, then all fragments will get merged back together before they reach the packet filtering code, so you need never worry about fragments.

Je to ale jen virtuální reassembly, že se fragmenty sice pospojují v paměti a zdrží se, dokud nejsou všechny, aby se z nich sestavil packet a namatchoval se přes pravidla, ale dál se odforwardují opět rozdělené na původní fragmenty. Aspoň AFAIK.

To dělá netfilter pouze virtuálně, ty packety se posílají dál fragmentované.

Nemusíte zkompilovat ani podporu IPv6 a přesto síťování bude fungovat. Dobře, můžu to upřesnit: pokud je netfilter přítomen v jádře, je součást síťového stacku :-)