фильтр пакетов в OpenBSD 3.6

> это правило пройдут только те пакеты протокола tcp, которые _покидают_ интерфейс fxp0

да 

> и у которых _устанвлены_флаги_ либо S либо SA? 
нет

From the FM:
---
flags S/SA  Out of SYN and ACK, exactly SYN may be set.  SYN,
            SYN+PSH and SYN+RST match, but SYN+ACK, ACK and ACK+RST
            do not.  This is more restrictive than the previous ex                     ample.
--

я это уже читал. Можно _разъяснить_??? Так как мне это кажется не логично!!!

разъясняю, flags S/SA означает, что пакет удовлетворяет этому правило тогда и только тогда, когда из флагов SYN и ACK установлен только SYN. Что тут нелогичного/непонятного?

А вот здесь есть рассуждения на тему какие флаги можно/нужно указывать http://www.monkey.org/openbsd/archive/misc/0207/msg01905.html

хорошо, объясни плиз логику этого правила

правило ты писал, почему я в нем должен логику искать :)

Очевидно, данному правилу не соответствуют одиночные пакеты с SYN+ACK или ACK и выпускаться они не будут (если других правил нет). Например, nmap использует ACK в режиме ACK scan, значит это правило, потенциально, обломит скан.

Вот и вся логика. Лучше объясни, чего хочется

Спасибо!

...изучаю фильтр пакетов pf в OpenBSD =)
уж очень там все не логично после iptables ))

глупо то, что можно было бы написать что _НЕ_НУЖНЫ_ASK_пакеты. Причем тут SYN?

Там написано ровно следующее: "пускать только пакеты, инициирующие соединение, причем пакеты лишь с определенной комбинацией флагов (S из SA)", все, ничего более.

ЗЫ А мне, вот, pf более понятен, чем iptables (IMHO, no flame here! :))

Видишь, и ты теперь заблуждаешься =))

ASK + PSH тоже инициируют соединение?!!!!!!!!!!!!!!!!!!! НЕТ!!!!

From the FM:
---
flags S/SA Out of SYN and ACK, exactly SYN may be set. SYN,
SYN+PSH and SYN+RST match, but SYN+ACK, ACK and ACK+RST
do not. This is more restrictive than the previous ex ample.
--

млин, ACK+PSH и не пройдет :) SYN должен быть _обязательно_ (exactly SYN may be set). В конце-концов можно написать S/URSAF, почитай mail list по ссылке, которую я давал.

пардон, ошибся, я хотел сказать, причем тут SYN+PSH??? такой набор не относится к тройному рукопожатию! =))

Просто полным перечислением отсекают некоторые виды сканирования портов в первом сегменте должен быть ТОЛЬКО SYN хотя Стивенс писал что некоторые ОСи могут выставлять и еще какие-то флаги в первом сегменте но это вроде не соответствует RFC, поэтому "ф сад".