1. Packet inicial de SYN: Cuando el firewall SPI recibe un paquete TCP SYN, no solo mira los números de puerto y las direcciones IP para el control de acceso. En cambio, verifica si el paquete es legítimo examinando su información de encabezado.
2. Creación de entrada de tabla de estado: Si el paquete SYN parece válido (suma de verificación correcta, no hay características maliciosas obvias), el firewall SPI crea una nueva entrada en su tabla de estado. Esta tabla rastrea las características de la conexión:
* Dirección IP de origen y puerto
* Dirección IP de destino y puerto
* Protocolo (TCP)
* Número de secuencia
* estado (por ejemplo, syn_sent, syn_received, establecido)
3. Permitiendo el paquete: Debido a que el firewall ahora está * consciente * de este intento esperado de conexión entrante, es probable que el paquete SYN pase al host de destino. El firewall ahora esencialmente "espera" los paquetes Syn-Aack y ACK correspondientes.
4. Packets posteriores: Los paquetes adicionales relacionados con esta conexión (Syn-Aack, ACK, paquetes de datos) solo se permitirán si coinciden con la entrada de la tabla de estado. Los paquetes que no coinciden (por ejemplo, un paquete SYN de un puerto de origen diferente dirigido al mismo destino) se eliminarán como inesperados o potencialmente maliciosos. Esta es la parte "con estado":el firewall mantiene el contexto sobre la conversación.
5. Cambios de tiempo de espera y estado: La entrada de la tabla de estado permanece activa durante un cierto período. Si los paquetes posteriores esperados (Syn-Aack, ACK) no se reciben dentro de un plazo razonable, la entrada se desprende y se elimina de la tabla. El estado también cambiará a medida que avanza la conexión (por ejemplo, de Syn_received a establecido). Una vez que la conexión está cerrada (con paquetes de aleta), la entrada finalmente se elimina.
6. Implicaciones de seguridad: Al inspeccionar el estado de la conexión, un firewall SPI ayuda a prevenir muchos ataques de inundación de TCP SYN. Una simple inundación SYN intenta abrumar un servidor enviando muchos paquetes SYN sin enviar los ACK posteriores. Un firewall SPI, con su mesa de estado, detectará y bloqueará estos paquetes SYN ilegítimos. También bloquea otros ataques que se basan en direcciones falsificadas y secuencias de paquetes inesperadas.
En resumen, un firewall SPI no solo filtra paquetes pasivamente; Monitorea activamente el estado de las conexiones de red, permitiendo solo paquetes que se ajustan a los patrones esperados y evitan muchos ataques comunes.