topic Re: Дропы пакетов с IP option in Russian

Дропы пакетов с IP option

Mikhail_Demin — Thu, 30 Jan 2020 05:12:12 GMT

Наблюдаются дропы пакетов с IP option (в частности, 136). sk62082 не помогла. Есть ли какие-то иные способы разрешить прохождение трафика с IP option, не прибегая к обновлению? Сейчас шлюз и сервер управления на 77.30.

Re: Дропы пакетов с IP option

_Val_ — Mon, 03 Feb 2020 11:34:45 GMT

Что показывает команда
fw tab -t allowed_ipopts_proto
?

Re: Дропы пакетов с IP option

Mikhail_Demin — Tue, 04 Feb 2020 05:06:13 GMT

-------- allowed_ipopts_proto --------
static, id 227
<00000002, 00000094>
<00000011, 00000088>
<00000067, 00000094>

То есть все настроено верно - разрешено прохождение пакетов с IP Option 136 (00000088) по UDP (00000011). Но дропы пакетов как раз с такими свойствами и наблюдаются

Re: Дропы пакетов с IP option

_Val_ — Tue, 04 Feb 2020 07:16:37 GMT

Логично. для TCP, UDP & ICMP только NOP & EOL опции будут работать.

Можно открыть суппорт-кол, но думаю, ответ будет точно таким же

Re: Дропы пакетов с IP option

Mikhail_Demin — Tue, 04 Feb 2020 07:46:33 GMT

Таким же в смысле обновляться до 80-й версии? Просто насколько я вижу, подобные проблемы с IP Option наблюдаются и у пользователей, например, 80.20: https://community.checkpoint.com/t5/Access-Control-Products/let-ip-option-field-quot-security-quot-pass-the-gateway-and-do/td-p/51576. Также наткнулся на sk93809, и там фикс заключается в правке $FWDIR/boot/modules/fwkern.conf. Нет ли интересно каких-то аналогичных параметров, которые можно было бы добавить в этот конфигурационный файл, но уже не для ICMP?

Re: Дропы пакетов с IP option

_Val_ — Tue, 04 Feb 2020 07:55:58 GMT

Откройте кейс. Спасибо

Re: Дропы пакетов с IP option

Mikhail_Demin — Tue, 04 Feb 2020 08:06:55 GMT

Хорошо, спасибо за ответ!