iptables-netfilter基础

最新推荐文章于 2024-05-18 16:23:13 发布
最新推荐文章于 2024-05-18 16:23:13 发布
阅读量134 收藏
点赞数
分类专栏： linux 文章标签： 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wang11876/article/details/131930631
版权

iptables-netfilter基础

课堂笔记

  • iptables
    • Firewall：防火墙 = 隔离工具。区别于建筑防火墙。工作于主机或网络边缘，对于进出本主机或本网络的报文根据事先定义的检查规则作匹配检测，对于能够被规则匹配到的报文作出相应处理的组件；网络攻击无非就是特殊改造的报文对主机发起攻击，防火墙区别于杀毒软件。
      • 主机防火墙
      • 网络防火墙
建筑设计专业术语，指防止火灾蔓延至相邻区域且耐火极限不低于3小时的不燃性墙体。用于划分防火分区，或防止建筑间火灾蔓延的重要分隔构件，能在火灾初期和灭火过程中，将火灾有效限制在一定空间内，阻断火灾在防火墙的一侧蔓延到另一侧，对于减少火灾损失具有重要作用。

防火墙就类似于古代画像抓人，如果匹配就抓。虽然画的不像，所以很多冤案。

*   防火墙都有哪些机制？
    *   内核态流量出入口钩子函数（相当于检票机，挡住流量然后匹配规则，符合规则执行规则动作，否则默认动作）
    *   选定卡点，关键点进行hook，做检查
    *   防火墙只能最内部和外部的流量进行检测，但是如果内部出现了内奸，防火墙没用了，**家贼难防**
    *   互联网70%的攻击都是内鬼所为。

*   防火墙未必能防火？
    *   类似于贿赂，赛一把钞票就放行
    *   伪装特定报文就无法检测出来，类似于隧道机制。并且涉及到防火墙检测规则项目相关。
*   NAT网络地址转换
    *   雁过拔毛式。若要过此路留下买路财。
    *   NAT是网络地址转换，比方说有一万用户一千个IP，每个用户一个IP肯定不够，但同时上线的用户可能只有500，于是分给用户私网IP，等他上线时NAT设备进行私网IP和公网IP的映射转化。
*   PAT端口地址转换
    *   PAT是端口地址转换，比方说有一万个用户而只有一百个IP，同时上线的用户也许好几百个，这样NAT的方法也就满足不了了，于是只好把用户的私网IP+端口映射到一个公网IP+端口上，当然其他的用户也可以映射到相同的IP上，最后通过端口号来区分。
    *   NAT好歹还能保证一个用户有自己专用的IP，而PAT就只能保证一个用户只有自己专用的端口了，PAT叫端口地址转换，NAT是网络地址转换，由RFC 1631定义。

*   网络攻击和杀毒软件的区别

    *   攻击归攻击，杀毒归杀毒。杀毒针对的是任何形式的可执行程序，攻击针对的是流量

*   入侵检测系统IDS

    *   能够根据主机所受到的外部条件的影响作出相应的控制操作
    *   如果检测到流量攻击，防火墙新增规律阻断流量
    *   如果检测到某应用程序的异常流量通信，杀毒软件扼制程序运行
    *   入侵检测能够发现攻击行为并且告知防火墙，让防火墙将攻击报文拒之门外。两者联动
    *   IDS不一定跟防火墙联动，有一定滞后性，比如发现流量异常给管理员发送警告或者仅仅弹窗提醒。
    *   HIDS 主机入侵检测系统
    *   NIDS 网络入侵检测系统
    *   蜜罐honeypot
        *   伪装

*   入侵防御系统(*IPS*: Intrusion Prevention System)

    *   入侵防御系统(Intrusion-prevention system)是一部能够监视网络或网络设备的网络资料传输行为的[计算机网络安全](https://baike.baidu.com/item/%E8%AE%A1%E7%AE%97%E6%9C%BA%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8/6357)设备，能够即时的中断、调整或隔离一些不正常或是具有伤害性的网络资料传输行为。

*   iptables
    *   iptables是内核中的防火墙么？不是，但防火墙一般是内核中实现的功能，那iptables到底什么实现原理？
    *   iptables全称其实叫iptables/netfilter
        *   framwork：netfilter-内核态hook钩子在网络流经关键位置。有钩子能够把报文捕获，但是没有规则，规则在哪里？但是规则必须符合规则并且放到恰当hook钩子的位置才能正常工作。
            *   netfilter是内核中本身实现的框架。也就hook默认就是存在的，但是没有启用规则，默认都是放行。
            *   只要os在运行，内核就必然运行，一旦把规则设定，那么hook必然开始匹配，也就是说，匹配规则需要从用户态流经内核态。但是内核一般是动态运行，也就是说在内存中，它的规则也必然出于内核态的内存的某个角落，所以一旦重启系统，规则就没了，但是如果设定了脚本，那么开机启动时候通过脚本
        *   那么iptables的五个关键位置具体在哪里，你大致猜一下会在哪里？规则即使要把钩子放到五个函数的哪个地方。
            *   限制本机访问别人？
            *   限制别人访问本机？
            *   限制发给第三者的包我要不要帮忙传递？
        *   这五个钩子在iptables成为链chain 
    *   iptables功能-四个表的作用，每一个功能都要通过5个钩子发挥作用。
        *   filter：过滤，防火墙
        *   nat：网络地址转换，network address translation。
        *   mangle：除了地址可以转换之外其他部分都可以转换。它的作用就是拆分报文作出修改然后再次包装发送。
        *   raw：属于nat的补充，作用在于关闭nat表上启用的链接追踪机制。一般NAT都要启用链接追踪，不然会产生问题。raw用的比较少。链接追踪其实是个非常有用的功能。
    *   **链接追踪的作用**：能够识别先前的访问者，如果想要追踪每一个链接，怎么办？你就需要建立一个非常庞大的追踪表才可以
        *   典型的例子就是老顾客，你怎么识别老顾客？ **老顾客与狗不得入内**
        *   要想追踪链接你就需要记下来，记下来肯定需要消耗内存空间。因为数据量庞大会造成内存溢出。对于非常繁忙的服务器，链接追踪是万万不能开启。不得不启用则必须提供足够大的内存才行。
    *   五条链的作用。链（内置）
        *   PREROUTING：路由之前
        *   INPUT：本机接收到的
        *   FORWARD：本机转发
        *   OUTPUT：本机发出的
        *   POSTROUTING：第二次路由决策作出处理
            *   REROUTING和POSTROUGING，跟网卡没有关系，他们只是TCP/IP协议栈上的功能，可以是任意网卡
    *   四个功能五个表，每一个链会构成一个规则。
        *   流入：PREROUTING --> INPUT
        *   流出：OUTPUT --->POSTROUTING
        *   转发：PREROUTING --> FORWARD --> POSTROUTING
    *   各功能的分别实现。**你要用的时候首先应该详情用在哪个表，以及对应表的所在链上**
        *   filter：INPUT、FORWARD、OUTPUT
        *   nat：PREROUTING(DNAT)、OUTPUT、POSTROUGING(SNAT)
        *   mangle：PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING
        *   raw：PREROUTING 、OUTPUT

    *   路由发生的时刻
        *   报文进入本机后
            *   判断目标主机
        *   报文发出之前
            *   判断经由哪个接口送往下一跳

*   iptables
    *   四表五链
        *   raw、mangle、nat、filter
        *   REROUTING、INPUT、OUTPUT、POSTROUTING、FORWARD
    *   添加规则时考量点
        *   要实现那种功能，判断添加到哪张表
        *   报文流经的路径，判断添加到哪个链上
    *   链上规则的次序，即为检查的次序，因此隐含一定的法则
        1.  同类规则（访问同一种应用），匹配范围小的放上面。越优先匹配的越前，不至于到最后才匹配
        2.  不同类规则（访问不同应用），访问频率大的，匹配到报文频率较大的放上面
        3.  设置默认策略
            *  白名单 - 建议
            *  黑名单
        4.  可有一条规则描述的多条规则合并为一个规则
        5.  如果用不到应该关闭链接追踪功能





[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Cn8SsTwX-1690331400391)(assets/1548066786404.png)]

*   数据包过滤匹配流程

    *   过滤优先级是既定的
        *   [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Wy30COc1-1690331400391)(assets/1548066888866.png)]
        *   既定优先级raw,mangle,nat,filter

*   规则,真正发挥作用的地方
    *   组成部分
        *   报文的匹配条件
            *   匹配条件?根据协议报文特征指定
                *   基本匹配条件
                    *   源IP/目的IP
                    *   源端口/目标端口
                *   扩展匹配条件
        *   匹配到之后的处理动作
            *   处理动作?

                *   内建处理机制
                    *   DROP
                    *   ACCEPT
                    *   REJECT

                *   自定义处理机制
            *   注意：报文不会经过自定义链，只能在内置链上通过规则进行引用后生效

iptables： 包过滤型的防火墙

Firewall：防火墙，隔离工具；工作于主机或网络边缘，对于进出本主机或本网络的报文根据事先定义的检查规则作匹配检测，对于能够被规则匹配到的报文作出相应处理的组件；
	主机防火墙
	网络防火墙

	软件防火墙（软件逻辑）
	硬件防火墙（硬件和软件逻辑）

ipfw (firewall framework)
ipchains (firewall framework)

iptables(netfilter)
	netfilter：kernel
	iptables：rules until

	hook function：
		input
		output
		forward
		prerouting
		postrouting

链（内置）：
	PREROUTING
	INPUT
	FORWARD
	OUTPUT
	POSTROUTING

功能：
	filter：过滤，防火墙；
	nat：network address translation；用于修改源IP或目标IP，也可以改端口；
	mangle：拆解报文，做出修改，并重新封装起来；
	raw：关闭nat表上启用的连接追踪机制；

功能<--链：
	raw：PREROUTING， OUTPUT
	mangle：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING
	nat：PREROUTING，[INPUT，]OUTPUT，POSTROUTING
	filter：INPUT，FORWARD，OUTPUT

报文流向：
	流入本机：PREROUTING --> INPUT
	由本机流出：OUTPUT --> POSTROUTING
	转发：PREROUTING --> FORWARD --> POSTROUTING

路由功能发生的时刻：
	报文进入本机后：
		判断目标主机是？
	报文离开本机之前：
		判断经由哪个接口送往下一站？
iptables/netfilter

	规则：
		组成部分：根据规则匹配条件来尝试匹配报文，一旦匹配成功，就由规则定义的处理动作作出处理；
			匹配条件：
				基本匹配条件
				扩展匹配条件
			处理动作：
				基本处理动作
				扩展处理动作
				自定义处理机制

		iptables的链：内置链和自定义链
			内置链：对应于hook function
			自定义链接：用于内置链的扩展和补充，可实现更灵活的规则管理机制；

	添加规则时的考量点：
		(1) 要实现哪种功能：判断添加到哪个表上；
		(2) 报文流经的路径：判断添加到哪个链上；

		链：链上的规则次序，即为检查的次序；因此，隐含一定的应用法则：
			(1) 同类规则（访问同一应用），匹配范围小的放上面；
			(2) 不同类的规则（访问不同应用），匹配到报文频率较大的放在上面；
			(3) 将那些可由一条规则描述的多个规则合并起来；
			(4) 设置默认策略；

	iptables命令：

		iptables [-t table] {-A|-C|-D} chain rule-specification

		iptables [-t table] -I chain [rulenum] rule-specification

		iptables [-t table] -R chain rulenum rule-specification

		iptables [-t table] -D chain rulenum

		iptables [-t table] -S [chain [rulenum]]

		iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]

		iptables [-t table] -N chain

		iptables [-t table] -X  [chain]

		iptables [-t table] -P chain target

		iptables [-t table] -E old-chain-name new-chain-name

		rule-specification = [matches...]  [target]

		match = -m matchname [per-match-options]

		target = -j targetname [per-target-options]

		规则格式：iptables   [-t table]   COMMAND   chain   [-m matchname [per-match-options]]   -j targetname [per-target-options]

			-t table：
				raw, mangle, nat, [filter]

			COMMAND：
				链管理：
					-N：new, 自定义一条新的规则链；
					-X： delete，删除自定义的规则链；
					-P：Policy，设置默认策略；对filter表中的链而言，其默认策略有：
						ACCEPT：接受
						DROP：丢弃
						REJECT：拒绝
					-E：重命名自定义链；引用计数不为0的自定义链不能够被重命名，也不能被删除；
				规则管理：
					-A：append，追加；
					-I：insert, 插入，要指明位置，省略时表示第一条；
					-D：delete，删除；
						(1) 指明规则序号；
						(2) 指明规则本身；
					-R：replace，替换指定链上的指定规则；

					-F：flush，清空指定的规则链；
					-Z：zero，置零；
						iptables的每条规则都有两个计数器：
							(1) 匹配到的报文的个数；
							(2) 匹配到的所有报文的大小之和；						
				查看：
					-L：list, 列出指定鏈上的所有规则；
						-n：numberic，以数字格式显示地址和端口号；
						-v：verbose，详细信息；
							-vv, -vvv
						-x：exactly，显示计数器结果的精确值；
						--line-numbers：显示规则的序号；

			chain：
				PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

			匹配条件：
				基本匹配条件：无需加载任何模块，由iptables/netfilter自行提供；
					[!] -s, --source  address[/mask][,...]：检查报文中的源IP地址是否符合此处指定的地址或范围；
					[!] -d, --destination address[/mask][,...]：检查报文中的目标IP地址是否符合此处指定的地址或范围；
					[!] -p, --protocol protocol
						protocol: tcp, udp, udplite, icmp, icmpv6,esp, ah, sctp, mh or  "all"
							{tcp|udp|icmp}
					[!] -i, --in-interface name：数据报文流入的接口；只能应用于数据报文流入的环节，只能应用于PREROUTING，INPUT和FORWARD链；
					[!] -o, --out-interface name：数据报文流出的接口；只能应用于数据报文流出的环节，只能应用于FORWARD、OUTPUT和POSTROUTING链；											
				扩展匹配条件： 需要加载扩展模块，方可生效；
					隐式扩展：不需要手动加载扩展模块；因为它们是对协议的扩展，所以，但凡使用-p指明了协议，就表示已经指明了要扩展的模块；
						tcp：
							[!] --source-port, --sport port[:port]：匹配报文的源端口；可以是端口范围；
							[!] --destination-port,--dport port[:port]：匹配报文的目标端口；可以是端口范围；
							[!] --tcp-flags  mask  comp
								mask is the flags which we should examine,  written as a comma-separated list，例如 SYN,ACK,FIN,RST
								comp is a comma-separated list  of  flags  which must be set，例如SYN
								例如：“--tcp-flags  SYN,ACK,FIN,RST  SYN”表示，要检查的标志位为SYN,ACK,FIN,RST四个，其中SYN必须为1，余下的必须为0；
							[!] --syn：用于匹配第一次握手，相当于”--tcp-flags  SYN,ACK,FIN,RST  SYN“；								
						udp
							[!] --source-port, --sport port[:port]：匹配报文的源端口；可以是端口范围；
							[!] --destination-port,--dport port[:port]：匹配报文的目标端口；可以是端口范围；

						icmp
							[!] --icmp-type {type[/code]|typename}
								echo-request：8
								echo-reply：0

					显式扩展：必须要手动加载扩展模块， [-m matchname [per-match-options]]； 						

			处理动作：
				-j targetname [per-target-options]
					ACCEPT
					DROP
					REJECT
					RETURN：返回调用链；
					REDIRECT：端口重定向；
					LOG：记录日志；
					MARK：做防火墙标记；
					DNAT：目标地址转换；
					SNAT：源地址转换；
					MASQUERADE：地址伪装；
					...
					自定义链：

		防火墙（服务）：
			CentOS 6：
				service  iptables  {start|stop|restart|status}
					start：读取事先保存的规则，并应用到netfilter上；
					stop：清空netfilter上的规则，以及还原默认策略等；
					status：显示生效的规则；
					restart：清空netfilter上的规则，再读取事先保存的规则，并应用到netfilter上；

					默认的规则文件：/etc/sysconfig/iptables

			CentOS 7：
				systemctl  start|stop|restart|status  firewalld.service

				systemctl  disable  firewalld.service
				systemctl  stop  firewalld.service 					

	课后作业：开放本机web服务器给非192.168.0.0/24网络中的主机访问；
			   禁止本机被非172.16.0.0/16网络中的主机进行ping请求；
			   开放本机的dns服务给所有主机；
墨烦信息
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
go-netfilter-queue:转到libnetfilter_queue的绑定
05-04
go-netfilter队列 ...然后，您可以使用go-netfilter-queue检查数据包： package main import ( "fmt" "github.com/openshift/geard/pkg/go-netfilter-queue" "os" ) func main() { var err error
计算机网络day16 防火墙 - iptables - netfilter - iptables的四表五链 - iptables命令 - iptables的匹配条件 - iptables端口实验
lpfstudy的博客
08-03 853
iptables的条件：1.协议：tcp udp icmp-p protocol 小写的p-p icmp --icmp-type 8 ping请求报文-p icmp --icmp-type 0 ping响应报文2.端口号：3.ip地址-s source4.mac地址5.状态6.其他ens33接口上不接收tcp三次握手的第一个包--》不允许新的连接产生了常见的数据包处理方式ACCEPT：放行数据包DROP：丢弃数据包REJECT：拒绝数据包,给一个回复。
iptables基础 iptables-save iptables-persistent持久化
qq_42152032的博客
12-14 789
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8088 #追加一条规则： 将本机的 80 端口转发到 8088 端口。iptables -t nat -D PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8088 #删除规则。--to-port 8088 重定向到8088。-t nat: 指定使用"nat"表，这个表用于处理网络地址转换(NAT)相关规则。
02-iptables-netfilter
husa的博客
01-27 499
02-iptables/netfilterRules组成部分 匹配条件 基本匹配条件 扩展匹配条件 处理动作 基本处理动作 扩展处理动作 自定义处理机制 iptables链内置链 对应于hook function 自定义链 没有hook function，不能直接使用，用于内置链的扩展和扩充，可实
android模拟器 netfilter,android中的iptables错误:iptables-save和iptables-restore无法正常工作...
weixin_32743045的博客
05-31 246
我已经为Android模拟器编译了Linux,并启用了完整的netfilter功能.从源代码构建android之后获得了iptables二进制文件.当我把这个二进制文件推送到模拟器我可以成功执行下面的命令.iptables -Liptables -Fiptables -A INPUT -s www.google.com -j DROP有这个错误:# # iptables -Lgetsockopt ...
android iptables清空,android中的iptables错误：iptables-save和iptables-restore无法正常工作...
weixin_34313368的博客
06-03 565
我已经为Android模拟器编译了Linux,并启用了完整的netfilter功能.从源代码构建android之后获得了iptables二进制文件.当我把这个二进制文件推送到模拟器我可以成功执行下面的命令.iptables -Liptables -Fiptables -A INPUT -s www.google.com -j DROP有这个错误：# # iptables -Lgetsockopt ...
关于iptables--基础知识
weixin_34082695的博客
08-25 91
什么是iptables？常见于linux系统下的应用层防火墙工具常见人员：系统管理人员、网络工程师、安全人员iptables的作用：一、如何用iptables搭建一套如何企业实际使用的防火墙规则二、如何用iptables进行防***三、如何利用iptables进行数据包准啊发四、明白iptables的强大及实际使用意义什么是Netfilter：Netfilter是Linux操...
iptables深度总结--基础篇
yanzhuang521967的博客
04-17 1228
对iptables命令的总结
iptables--保存与恢复规则
香蕉一号
07-03 7617
iptables--保存与恢复规则1.概述2.优点3.缺点 1.概述 iptables 提供了两个很有用的工具用来处理大规则集: iptables-save 和iptables-restore,它们把规则存入一个与标准脚本代码只有细微查别的特殊格式的文件中,或从中恢复规则。 2.优点 使用 iptables-save 和 iptables-restore 的一个最重要的原因是,它们能在相当程度上提高装载、保存规则的速度。使用脚本更改规则的问题是,改动每个规则都要调运命令 iptables,而每一次调用 ip
iptables -j MARK --set-xmark 解析
云原生，DevOps，Kubernetes
04-16 3843
查看man和命令帮助，还有网上搜到的解释不是很清晰，所以验证了一下，并尽量将其解释的通俗易懂。 MARK的作用 MARK标记用于将特定的数据包打上标签，供Iptables配合TC做QOS流量限制或应用策略路由。 格式 --set-xmark value[/mask] 操作结果： ctmark = (ctmark AND NOT mask) XOR value 重点（解释） 就是先将 ctmark（原包）中的那些 mask标志出来的位清零（mask值为1的位，当然这里是转换为二进制后的位），然后再与给.
Linux网络防火墙：iptables与netfilter
RToax
05-22 681
目录 netfilter iptables iptables示例 nftables 参考文档 iptables是一个配置Linux内核防火墙的命令行工具，它基于内核的netfilter机制。新版本的内核（3.13+）也提供了nftables，用于取代iptables。 netfilter netfilter是Linux内核的包过滤框架，它提供了一系列的钩子（Hook）供其他模块控制包的流动。这些钩子包括 NF_IP_PRE_ROUTING：刚刚通过数据链路层解包进入网络层的数据包通过此钩子
iptables-tracer:将跟踪点插入正在运行的配置中，以观察数据包通过iptables链的路径
05-07
iptables跟踪器 将跟踪点插入正在运行的配置中，以观察数据包通过iptables链的路径。用法$ iptables-tracer -f "-s 192.0.2.1 -p tcp --dport 443" -t 30s14:42:00.284882 raw PREROUTING 0x00000000 IP 192.0.2.1....
iptables-1.2.2指南.pdf
12-26
本文的原来目标是写一个iptables以及netfilter扩展的介绍材料，但是随着时间的推移，这个目标已经发生了变化。它现在瞄准的是让它成为一个完备的参考手册，至少能够成为带你迈进iptables/netfilter门槛的引领者。...
CRYPT Extension for Netfilter/Iptables-开源
05-07
Netfilter / Iptables的CRYPT扩展允许您使用流和分组密码创建加密的通信。 它还对数据包进行身份验证。
netmap-netfilter:Linux netfilter移植到用户空间
05-12
netmap-netfilter 从netmap-ipfw和linux的netfilter一起砍掉了代码。 使用debian的3.2内核和debian的1.4.14-3.1 iptables进行了测试。 需要将以下内容添加到/lib/modules/3.2.0-4-amd64/build/include/generated/...
使用MPLS解决BGP的路由黑洞（详解）
最新发布
qq_64302290的博客
05-18 233
我们知道在MPLS中数据的转发不再依靠路由表而是靠标签（注意：标签是在路由的基础上形成的）。所以在BGP中，我们依靠的就是这个特性来解决BGP的路由黑洞。BGP路由黑洞的解释：BGP的路由黑洞其实就是路由层面可达，数据层面不可达。（你可以收到对方的路由，但是不能和对方通讯。
计算机网络
zengkui198513的博客
05-15 311
上面的每一个问题是每一层都必须面对的也都必须要解决的。每一层而且必须要覆盖上面的信息！
云服务器遇到攻击怎么办，有哪些安全措施
dexunyun的博客
05-18 552
DDoS攻击对云服务器安全构成了严重威胁，但通过采取合适的防护策略，我们可以有效地降低攻击的影响。选择可靠的云服务提供商、部署DDoS防护服务是保护云服务器免受DDoS攻击的有效措施。德迅云安全提供了多种防护解决方案，可以帮助企业有效防止DDoS攻击，保护云服务器的安全，保障业务稳定。
netstat协议
lovemelovefish的博客
05-15 389
本机各端口的网络连接情况。
iptables -t mangle -A OUTPUT -m state --state NEW -j HMARK --hmark-tuple src,sport,dst,dport --hmark-mod 7 --hmark-rnd 0xcafeface --hmark-offset 0x65 iptables -t mangle -A OUTPUT -m state --state NEW -j CONNMARK --save-mark --nfmask 0xffffffff --ctmask 0xffffffff iptables -t mangle -A OUTPUT -m state --state RELATED,ESTABLISHED -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff 这3串代码实现了什么功能?
07-14
这三条iptables规则实现了以下功能： 1. 第一条规则： - 匹配状态为NEW的数据包（即新建连接的数据包）。 - 对匹配的数据包应用HMARK（哈希标记）动作。 - 使用源IP地址、源端口、目标IP地址和目标端口作为哈希元组。 - 应用哈希算法mod 7。 - 设置随机种子为0xcafeface。 - 设置哈希偏移量为0x65。 这条规则的作用是对新建连接的数据包进行哈希标记，使用特定的哈希算法和参数来生成标记。 2. 第二条规则： - 匹配状态为NEW的数据包。 - 对匹配的数据包应用CONNMARK（连接标记）动作。 - 保存当前连接标记到数据包的元数据中。 - 设置netfilter掩码为0xffffffff。 - 设置连接跟踪掩码为0xffffffff。 这条规则的作用是保存当前连接的标记到数据包的元数据中，以便后续的处理可以使用该标记。 3. 第三条规则： - 匹配状态为RELATED或ESTABLISHED的数据包（即相关或已建立连接的数据包）。 - 对匹配的数据包应用CONNMARK动作。 - 从数据包的元数据中恢复连接标记。 - 设置netfilter掩码为0xffffffff。 - 设置连接跟踪掩码为0xffffffff。 这条规则的作用是从相关或已建立连接的数据包的元数据中恢复连接标记，以便后续的处理可以使用该标记。 总体上，这三条规则用于在mangle表的OUTPUT链中对输出数据包进行处理和标记，以便后续的处理或路由决策能够根据这些标记来进行。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

墨烦信息

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值