Selektive Bestätigungen ausschalten

Warum es wichtig ist

Selektive Bestätigungen lassen TCP genau melden, welche Teile ankamen, sodass nur fehlende erneut gesendet werden. Der Code dafür hatte schwere Fehler, und 2019 ließ eine als SACK Panic bekannte Schwachstelle einen entfernten Angreifer eine Linux-Maschine mit passend gebauten Paketen abstürzen. SACK auszuschalten entfernt diese Art Ziel.

Wie es funktioniert

Setzt net.ipv4.tcp_sack auf 0. TCP-Verbindungen fallen auf eine einfachere Art zurück, verlorene Pakete wiederzuholen, ohne selektive Bestätigungen.

Für wen es sich eignet

Eine Wahl der Verteidigung in der Tiefe für Server mit nicht vertrauenswürdigem Verkehr. Bekannte Fehler sind in aktuellen Kerneln behoben, daher ist für einen Desktop der Geschwindigkeitsverlust oft das schlechtere Geschäft. Lassen Sie es an auf langsamen oder verlustreichen Verbindungen.

Was Sie bemerken könnten

Downloads und Uploads können auf WLAN-, Mobil- oder Langstreckenverbindungen mit Paketverlust langsamer sein. In sauberen kabelgebundenen Netzen merken Sie womöglich nichts.

Auf Ihrem Computer prüfen

Den aktuellen Wert lesen:

sysctl net.ipv4.tcp_sack

Von Hand anwenden

Jetzt setzen (bis zum nächsten Neustart):

sudo sysctl -w net.ipv4.tcp_sack=0

Nach Neustarts beibehalten, in einer eigenen Datei:

sudo tee /etc/sysctl.d/90-net-tcp-sack.conf <<'EOF'
net.ipv4.tcp_sack = 0
EOF
sudo sysctl --system

Rückgängig machen

Entfernen Sie die Datei und starten Sie neu, oder setzen Sie den alten Wert mit sysctl -w zurück.

Verwandte Einstellungen

• Verbindungsfluten überstehen
• Resets schließender Verbindungen ignorieren

Quellen

Linux Hardening Guide (madaidans)

2.2.2