iptables使用-m limit出错

最新推荐文章于 2024-02-06 22:48:17 发布
最新推荐文章于 2024-02-06 22:48:17 发布
阅读量844 收藏 4
点赞数 2
文章标签： linux 服务器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/huadianyue/article/details/130686614
版权

1 问题现象

在使用iptables配置扩展规则的时候，使用-m limit模块的时候，有如下提示：

iptables -A INPUT -p ICMP -s 192.168.2.100 -m limit --limit 1/m --limit-burst=1 -j ACCEPT

iptables v1.8.5 (legacy): Couldn't load match `limit':No such file or directory
Try `iptables -h' or 'iptables --help' for more information.

使用strace来追踪，有如下提示：

strace iptables -A INPUT -p ICMP -s 192.168.2.100 -m limit --limit 1/m --limit-burst=1 -j ACCEPT
execve("/bin/iptables", ["iptables", "-A", "INPUT", "-p", "ICMP", "-s", "192.168.2.100", "-m", "limit", "--limit", "1/m", "--limit-burst=1", "-j", "ACCEPT"], 0x7fc7a05f28 /* 11 vars */) = 0
brk(NULL)                               = 0x55aab57000
faccessat(AT_FDCWD, "/etc/ld.so.preload", R_OK) = -1 ENOENT (No such file or directory)
openat(AT_FDCWD, "tls/aarch64/libip4tc.so.2", O_RDONLY|O_CLOEXEC) = -1 ENOENT (No such file or directory)

......中间省略若干.......
lseek(3, 0, SEEK_CUR)                   = 0
fstat(3, {st_mode=S_IFREG|0644, st_size=2932, ...}) = 0
read(3, "# Internet (IP) protocols\n#\n# Up"..., 4096) = 2932
close(3)                                = 0
newfstatat(AT_FDCWD, "/usr/lib/xtables/libipt_limit.so", 0x7fd4c94308, 0) = -1 ENOENT (No such file or directory)
newfstatat(AT_FDCWD, "/usr/lib/xtables/libxt_limit.so", 0x7fd4c94308, 0) = -1 ENOENT (No such file or directory)
write(2, "iptables v1.8.5 (legacy): ", 26iptables v1.8.5 (legacy): ) = 26
write(2, "Couldn't load match `limit':No s"..., 54Couldn't load match `limit':No such file or directory
) = 54
write(2, "\n", 1
)                       = 1
write(2, "Try `iptables -h' or 'iptables -"..., 61Try `iptables -h' or 'iptables --help' for more information.
) = 61
exit_group(2)                           = ?
+++ exited with 2 +++

 从strace提示来看，是缺少libipt_limit.so或者libxt_limit.so动态库文件。

2 交叉编译动态库

在iptables官网找到对应版本的工具源码包。

iptables download

由于我使用的版本是v1.8.5，因此就以v1.8.5版本为例，其他版本参考该流程即可。

下载的是bz2格式的压缩包，linux下可以使用如下命令解压：

tar -xjf iptables-1.8.5.tar.bz2

 解压源码包后配置一下交叉编译工具路径。注意：需要根据自己交叉编译工具的具体路径做配置。

export PATH=$PATH:/opt/prebuilts/host/gcc-linaro-6.5.0-2018.12-x86_64_aarch64-linux-gnu/bin/

配置configure

./configure --prefix=/home/temp --enable-devel --host=aarch64-linux CC=aarch64-linux-gnu-gcc

如果该处没有报错，就可以执行

make

make结束后，执行

sudo make install

然后到/home/temp路径下就可以看到生成的工具和动态库了。

/home/temp$ tree
.
|-- bin
|   `-- iptables-xml -> /home/temp/sbin/xtables-legacy-multi
|-- include
|   |-- libiptc
|   |   |-- ipt_kernel_headers.h
|   |   |-- libip6tc.h
|   |   |-- libiptc.h
|   |   |-- libxtc.h
|   |   `-- xtcshared.h
|   |-- xtables-version.h
|   `-- xtables.h
|-- lib
|   |-- libip4tc.la
|   |-- libip4tc.so -> libip4tc.so.2.0.0
|   |-- libip4tc.so.2 -> libip4tc.so.2.0.0
|   |-- libip4tc.so.2.0.0
|   |-- libip6tc.la
|   |-- libip6tc.so -> libip6tc.so.2.0.0
|   |-- libip6tc.so.2 -> libip6tc.so.2.0.0
|   |-- libip6tc.so.2.0.0
|   |-- libxtables.la
|   |-- libxtables.so -> libxtables.so.12.3.0
|   |-- libxtables.so.12 -> libxtables.so.12.3.0
|   |-- libxtables.so.12.3.0
|   |-- pkgconfig
|   |   |-- libip4tc.pc
|   |   |-- libip6tc.pc
|   |   |-- libiptc.pc
|   |   `-- xtables.pc
|   `-- xtables
|       |-- libipt_CLUSTERIP.so
|       |-- libipt_DNAT.so
|       |-- libipt_ECN.so
|       |-- libipt_LOG.so
|       |-- libipt_MASQUERADE.so
|       |-- libipt_NETMAP.so
|       |-- libipt_REDIRECT.so
|       |-- libipt_REJECT.so
|       |-- libipt_SNAT.so
|       |-- libipt_TTL.so
|       |-- libipt_ULOG.so
|       |-- libipt_ah.so
|       |-- libipt_icmp.so
|       |-- libipt_realm.so
|       |-- libipt_ttl.so
|       |-- libxt_AUDIT.so
|       |-- libxt_CHECKSUM.so
|       |-- libxt_CLASSIFY.so
|       |-- libxt_CONNMARK.so
|       |-- libxt_CONNSECMARK.so
|       |-- libxt_CT.so
|       |-- libxt_DSCP.so
|       |-- libxt_HMARK.so
|       |-- libxt_IDLETIMER.so
|       |-- libxt_LED.so
|       |-- libxt_MARK.so
|       |-- libxt_NFLOG.so
|       |-- libxt_NFQUEUE.so
|       |-- libxt_NOTRACK.so -> libxt_CT.so
|       |-- libxt_RATEEST.so
|       |-- libxt_SECMARK.so
|       |-- libxt_SET.so
|       |-- libxt_SYNPROXY.so
|       |-- libxt_TCPMSS.so
|       |-- libxt_TCPOPTSTRIP.so
|       |-- libxt_TEE.so
|       |-- libxt_TOS.so
|       |-- libxt_TPROXY.so
|       |-- libxt_TRACE.so
|       |-- libxt_addrtype.so
|       |-- libxt_bpf.so
|       |-- libxt_cgroup.so
|       |-- libxt_cluster.so
|       |-- libxt_comment.so
|       |-- libxt_connbytes.so
|       |-- libxt_connlimit.so
|       |-- libxt_connmark.so
|       |-- libxt_conntrack.so
|       |-- libxt_cpu.so
|       |-- libxt_dccp.so
|       |-- libxt_devgroup.so
|       |-- libxt_dscp.so
|       |-- libxt_ecn.so
|       |-- libxt_esp.so
|       |-- libxt_hashlimit.so
|       |-- libxt_helper.so
|       |-- libxt_ipcomp.so
|       |-- libxt_iprange.so
|       |-- libxt_ipvs.so
|       |-- libxt_length.so
|       |-- libxt_limit.so
|       |-- libxt_mac.so
|       |-- libxt_mark.so
|       |-- libxt_multiport.so
|       |-- libxt_nfacct.so
|       |-- libxt_osf.so
|       |-- libxt_owner.so
|       |-- libxt_physdev.so
|       |-- libxt_pkttype.so
|       |-- libxt_policy.so
|       |-- libxt_quota.so
|       |-- libxt_rateest.so
|       |-- libxt_recent.so
|       |-- libxt_rpfilter.so
|       |-- libxt_sctp.so
|       |-- libxt_set.so
|       |-- libxt_socket.so
|       |-- libxt_standard.so
|       |-- libxt_state.so -> libxt_conntrack.so
|       |-- libxt_statistic.so
|       |-- libxt_string.so
|       |-- libxt_tcp.so
|       |-- libxt_tcpmss.so
|       |-- libxt_time.so
|       |-- libxt_tos.so
|       |-- libxt_u32.so
|       `-- libxt_udp.so
|-- sbin
|   |-- ip6tables-apply -> iptables-apply
|   |-- iptables -> xtables-legacy-multi
|   |-- iptables-legacy -> xtables-legacy-multi
|   |-- iptables-legacy-restore -> xtables-legacy-multi
|   |-- iptables-legacy-save -> xtables-legacy-multi
|   |-- iptables-restore -> xtables-legacy-multi
|   |-- iptables-save -> xtables-legacy-multi
|   `-- xtables-legacy-multi
`-- share
    `-- man
        |-- man1
        |   `-- iptables-xml.1
        `-- man8
            |-- ip6tables-apply.8
            |-- ip6tables-restore.8
            |-- ip6tables-save.8
            |-- ip6tables.8
            |-- iptables-apply.8
            |-- iptables-extensions.8
            |-- iptables-restore.8
            |-- iptables-save.8
            `-- iptables.8

11 directories, 129 files

然后将生成的libxt_limit.so动态库拷贝到板端/usr/lib/xtables路径下。

scp libxt_limit.so root@192.168.2.11:/usr/lib/xtables/

然后再次执行iptables配置规则，发现报错如旧。

 strace iptables -A INPUT -p ICMP -s 192.168.32.23 -m limit --limit 1/m --limit-burst=1 -j ACCEPT
[  715.714837] mounted system vfs_write: sh(1555) modify mmcblk0p11 on /home/root/.ash_history
execve("/bin/iptables", ["iptables", "-A", "INPUT", "-p", "ICMP", "-s", "192.168.32.23", "-m", "limit", "--limit", "1/m", "--limit-burst=1", "-j", "ACCEPT"], 0x7ffaab1d78 /* 12 vars */) = 0
brk(NULL)                               = 0x3404f000

.....省略部分log.....
read(3, "# Internet (IP) protocols\n#\n# Up"..., 4096) = 2932
close(3)                                = 0
newfstatat(AT_FDCWD, "/usr/lib/xtables/libipt_limit.so", 0x7fc3e448a8, 0) = -1 ENOENT (No such file or directory)
newfstatat(AT_FDCWD, "/usr/lib/xtables/libxt_limit.so", {st_mode=S_IFREG|0711, st_size=9144, ...}, 0) = 0
openat(AT_FDCWD, "/usr/lib/xtables/libxt_limit.so", O_RDONLY|O_CLOEXEC) = 3
read(3, "\177ELF\2\1\1\0\0\0\0\0\0\0\0\0\3\0\267\0\1\0\0\0000\f\0\0\0\0\0\0"..., 832) = 832
fstat(3, {st_mode=S_IFREG|0711, st_size=9144, ...}) = 0
mmap(NULL, 72760, PROT_READ|PROT_EXEC, MAP_PRIVATE|MAP_DENYWRITE, 3, 0) = 0x7f95f17000
mprotect(0x7f95f19000, 61440, PROT_NONE) = 0
mmap(0x7f95f28000, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_FIXED|MAP_DENYWRITE, 3, 0x1000) = 0x7f95f28000
close(3)                                = 0
socket(AF_INET, SOCK_RAW, IPPROTO_RAW)  = 3
fcntl(3, F_SETFD, FD_CLOEXEC)           = 0
newfstatat(AT_FDCWD, "/proc/net/ip_tables_names", {st_mode=S_IFREG|0440, st_size=0, ...}, AT_SYMLINK_NOFOLLOW) = 0
statfs("/proc/net/ip_tables_names", {f_type=PROC_SUPER_MAGIC, f_bsize=4096, f_blocks=0, f_bfree=0, f_bavail=0, f_files=0, f_ffree=0, f_fsid={val=[0, 0]}, f_namelen=255, f_frsize=4096, f_flags=ST_VALID|ST_RELATIME}) = 0
getsockopt(3, SOL_IP, IPT_SO_GET_REVISION_MATCH, 0x7fc3e44768, [30]) = -1 ENOENT (No such file or directory)
close(3)                                = 0
write(2, "iptables v1.8.5 (legacy): ", 26iptables v1.8.5 (legacy): ) = 26
write(2, "Couldn't load match `limit':No s"..., 54Couldn't load match `limit':No such file or directory
) = 54
write(2, "\n", 1
)                       = 1
write(2, "Try `iptables -h' or 'iptables -"..., 61Try `iptables -h' or 'iptables --help' for more information.
) = 61
exit_group(2)                           = ?
+++ exited with 2 +++

其实这时候，已经找到libxt_limit.so库了。

再往下接着看，发现是socket没有成功。

 出现IPT_SO_GET_REVISION_MATCH这个socket提示的时候，说明是kernel的配置没有打开。到kernel的config文件中确认一下。

可以看到，确实是CONFIG_NETFILTER_XT_MATCH_LIMIT配置没有打开。将该配置项打开，编译一个新的镜像烧录板卡中。

重新执行规则配置。

iptables -A INPUT -p ICMP -s 192.168.2.100 -m limit --limit 1/m --limit-burst=1 -j ACCEPT 

 不会再报错。

时习之小童鞋
关注
  • 2
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
iptables 及iptables-service的rpm包
05-17
iptables-services-1.4.21-35.el7.x86_64 iptables-1.4.21-35.el7.x86_64 iptables-services-1.4.21-28.el7.x86_64.rpm iptables-1.4.21-16.el7.x86_64.rpm
centos6-iptables-1.4.7-16.el6.x86-64
08-09
centos6-iptables-1.4.7-16.el6.x86-64
linux系统中查看己设置iptables规则
weixin_30432579的博客
01-03 158
1、iptables -L 查看filter表的iptables规则，包括所有的链。filter表包含INPUT、OUTPUT、FORWARD三个规则链。 说明：-L是--list的简写，作用是列出规则。 2、iptables -L [-t 表名] 只查看某个表的中的规则。 说明：表名一共有三个：filter,nat,mangle，如果没有指定表名，则默...
iptables之snat
fengcai_ke的博客
07-19 1374
iptables snat
iptables常用语法与案例
weixin_30340745的博客
06-19 229
常用命令语法：[root@www ~]# iptables [-t tables] [-L] [-nv]选项与参数：-t ：后面接 table ，例如 nat 或 filter ，若省略此项目，则使用默认的filter-L ：列出目前的 table 的规则-n ：不进行 IP 与 HOSTNAME 的反查，显示讯息的速度会快很多！-v ：列出更多的信息，包括通过该规则的封包总位数、相关的网络接口等...
使用iptables和ipset实现大量屏蔽恶意IP地址
qq_44880708的博客
03-03 1170
使用iptables规则禁止ssh恶意访问
linux网络和权限,linux – 如何创建具有受限网络访问权限的...
weixin_34234983的博客
04-29 316
参见英文答案 > How to restrict internet access for a particular user on the lan using iptables in Linux????????????????????????????????????2个我想创建一个新用户(或组),以便与该用户一起运行的任何应用程序都无法连接到网络.@MichaelKj?rling我已经按照你...
关于linux编码问题
夜来风雨的博客
07-11 316
1、常见的通过JAVA代码写文件，导致LINUX无法执行 实例如下： "ptables v1.4.5: MARK: Bad value for "--set-xmark/--set-mark" option: "2 Try `iptables -h' or 'iptables --help' for more information. 执行报错 解决方法：
iptables-services-1.4.21-17.el7.x86_64.rpm 下载
06-18
centos7 iptables-services-1.4.21-17.el7.x86_64.rpm 安装包 下载
iptables-1.4.21
11-24
centos7离线安装iptables，iptables-1.4.21-34.el7.x86_64.rpm和iptables-services-1.4.21-34.el7.x86_64.rpm
iptables-services-1.4.21-34.el7.x86_64.rpm
09-22
iptables-services-1.4.21-34.el7.x86_64.rpm
ip6tables v1.8.7 (legacy): Couldn‘t load match `pkttype‘:No such file or directory
精诚所至
07-19 2110
openthread协议之边界路由器OTBR构建错误汇总
iptables学习笔记
weixin_33845477的博客
12-04 460
netfilter //netfilter是防火墙的名字，工具的名字叫iptables。#Netfilter与iptables的关系#我们常听说Linux防火墙叫做“iptables”，其实这样的称呼并不是很正确，什么是iptables呢？Netfilter所需要的规则是存放在内存中的，但问题是防火墙管理人员该如何将规则存放到内存呢？因此，防火墙管理人员会需要一个规则...
iptables 交叉编译
ZHANG13HAO的博客
08-13 1373
https://www.cnblogs.com/eleclsc/p/11686287.html 防火墙在做数据包过滤决定时，有一套遵循和组成的规则，这些规则存储在专用的数据包过滤表中，而这些表集成在 Linux 内核中。在数据包过滤表中，规则被分组放在我们所谓的链（chain）中。而netfilter/iptables IP 数据包过滤系统是一款功能强大的工具，可用于添加、编辑和移除规则。 虽然 netfilter/iptables IP 信息包过滤系统被称为单个实体，但它实际上由两个组件netfilt.
iptables匹配扩展--limit
weixin_39833509的博客
08-06 415
Limit match 这个匹配操作必须由-m limit明确指定才能使用。有了他的帮助，就能对指定的规则的日志数量加以限制，以免你被信息的洪流淹没哦。比如，你能事先设定一个限定值，当符合条件的包的数量不超过他时，就记录；超过了，就不记录了。我们能控制某条规则在一段时间内的匹配次数（也就是能匹配的包的数量），这样就能够减少DoS syn flood攻击的影响。这是他的主要作用，当然，更有非常多其他作用（注：比如，对于某些不常用的服务能限制连接数量，以免影响其他服务）。limit match也能用英文感叹号取
iptables之一
weixin_34391854的博客
08-20 204
扩展：multiport、iprange、connlimit、limit、time、string{kmp|bm} state [NEW、ESTABLISHED、RELATED、INVALID]，作为一个主机防火墙，我们本机出去，本机服务器 对服务器而言，很少需要主动发起新请求去连接别的机子。因为要在OUTPUT，很多情况下要放行ESTABLISHED和RELATED，对于I...
【linux】解决 iptables 出现的 Couldn‘t load match ‘string‘:No such file or directory 的问题
最新发布
我才是一卓的博客
02-06 895
需要先换上 ubuntu-22 的 apt 源，然后重装。ubuntu-20 的 apt 源中只有。在 ubuntu-20.04 上使用。，此时再使用就不会出现问题了。
iptables交叉编译及使用
yangyang031213的博客
01-01 7310
从https://www.netfilter.org/projects/iptables/downloads.html下载新版本的iptables，拷贝、解压后config: ./configure --prefix=/home/nfsshare/hisi/iptables/iptables --host=arm-linux CC=arm-himix200-linux-gcc 执行出现： che...
iptables -t filter -A FORWARD -p tcp -m tcp --dport 22 -m state --state NEW -m limit --limit 3/min -j ACCEPT
07-17
这个命令是用于配置iptables防火墙规则，允许通过TCP协议访问目标端口22（SSH服务）。它使用了一些匹配条件来限制连接频率。 具体解释如下： - `-t filter`：指定过滤表，用于过滤数据包。 - `-A FORWARD`：将规则添加到FORWARD链，用于处理通过防火墙的转发流量。 - `-p tcp`：规则适用于TCP协议。 - `-m tcp`：使用tcp模块，以便进行TCP相关的匹配。 - `--dport 22`：目标端口为22，即SSH服务的默认端口。 - `-m state --state NEW`：匹配包的状态为NEW，即新建连接的数据包。 - `-m limit --limit 3/min`：限制每分钟最多允许3个匹配的数据包通过。 - `-j ACCEPT`：如果匹配成功，则接受（允许）这些数据包通过。 请注意，执行iptables命令需要具有适当的权限，并且在配置防火墙规则时要小心谨慎。确保您了解当前系统的安全需求，并仔细评估每个规则的影响。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值