Netfilter 匹配方式和处理方法

１　MAC 地址匹配
由xt_mac.ko模块提供的功能
iptables -A INPUT -p tcp --dport 3306 -m mac --mac-source 00:02:03:04:1F:13 -j ACCEPT

２　Multiport的匹配
(１)介绍：Multiport 功能由ｘｔ_multiport.ko 模块提供的功能　由于匹配的是端口所以需要和-p结合使用
(２)提供的匹配参数：
    * --dports            匹配目的
   * --sports              匹配源地址
   * --ports                匹配目的和源
(3)示例：
iptables -A INPUT -p tcp --syn -m state --state NEW -m multiport --dports 21,22,443,80 -j ACCEPT

３数据包MARK值匹配
(1)由xt_MARK.ko提供
(2)参数:
 * --mark       匹配标记

(3)示例：

iptables -t mangle -A PREROUTING -p tcp --dport 80 -j MARK --set-mark 80

iptables -A FORWARD -p all -m mark --mark 80 -j DROP

４Owner匹配
(1) Owner的匹配方式由ipt_owner.ko模块提供，只适合OUTPUT 与POSTROUTING
(2) 参数：
* --uid-owner userid|username 匹配数据包由那个使用者产生的
* --gid-owner groupid|groupname 匹配数据包由那个用户组产生的
(3) 实例:
Iptables -A OUTPUT -p tcp -m owner --uid-owner jack --dport 80 -j ACCEPT

5 地址范围匹配

(1) 由ipt_iprange.ko提供
(2) 参数:
* --src-range          匹配来源地址范围
* --dst-range          匹配目的地址范围
(3) 实例:
iptables -A INPUT -m iprange --src-range 192.168.110.1-192.168.110.20 -j DROP

6 TTL 值匹配
(1)由ipt_ttl.ko　模块提供
(2)参数：
* --ttl-eq number 匹配ttl值等于number
* --ttl-lt number 小于
* --ttl-gt number 大于
(3)实例:
Iptables -A INPUT -m ttl --ttl-eq 64 -j REJECT

7 数据包状态匹配
(1) 由xt_state.ko　模块提供state 匹配　链接状态有４种：ESTABLISHED、NEW、RELATED、及INVALID 四种
INVALID：不属于前三种的数据包状态。
(2) 参数:
--state NEW|ESTABLEISHED|RELATED|INVALID
(3) 实例:
Iptables -A INPUT -p all -m state --state NEW,ESTABLEISHED,RELATED -j ACCEPT

8 AH及ESP 协议的SPI　值匹配
(1) 由ipt_ah.ko 和xt_esp.ko　模块提供
(2) 参数：
--ahspi       AH 包头内的spi 值
--espspi     ESP 包头的spi值
(3) 实例:
Iptables -A FORWARD -p ah -m ah --ahspi 300 -j ACCEPT

9 pkttype 匹配

(1) tcp/ip　网络环境中数据包传输有三种:Unicast 数据包发送对象特定　Broadcast 数据包传送的对象为广播地址　Multicast 数据包传送对象为多播地址。该匹配方式由xt_pkttype.ko提供
(2) 参数:
--pkt-type unicast|broadcast|multicast
(3) 实例:

Iptables -A FORWARD -i eth0 -p icmp -m pkttype --pkt-type broadcast -j DROP

10 MTU　值匹配
(1) MTU＝IP包头 +ICMP/TCP 包头+DATA，MSS=ICMP/TCP 包头+DATA
(2) 参数:
* [!]--length number 匹配MTU　值为number byte 数据包
* [!]--length :number 小于number byte数据包
* [!]--length number1:number2 两者之间的数据包
(3) 实例:
iptables -A FORWARD -p icmp -m length --length 92 -j ACCEPT

11 limit 特定数据包重复率匹配
(1)由xt_limit.ko　提供
(2)参数:
--limit packets/m(minutes)|s(second)|h(hour)|d 限制单位时间包个数　包速率
--limit-burst number 单位时间内包的数量　默认为５
(3)　实例:
Iptables -A INPUT -p icmp --icmp-type 8 -m limit --lim