LINUX iptable应用手册(八)

相关参考:《SNAT 目标》。

SNAT目标

SNAT的效果与此MASQUERADE相当,但是没有联机追踪能力,适合用于具有固定地址的网关器。《表67》是SEAT目标唯一的选项。




SNAT 的典型用途只涉及单一地址,不过,由于有些网关器可能同时有多个public IP地址(可能都设置于同一介面,也可能分别设置给不同介面),所以SNAT容许你指定一段地址范围,在这种情况下,SNAT会平均取用范围内的地址来取 代原封包里的来源地址。此外,你也可以指定一段通讯端口范围,让SNAT将出境封包的来源端口调整到该范围;如不指定通讯端口范围,当原封包(在NAT之 前)的原本来源端口是介于1-511之间时,iptables会从1-511范围之间挑选任一未使用的通讯端口来取代;但如果是原封包在NAT之前所用的 来源端口介于512-1024,则代换成600-1023之间的未用通讯端口;但如果是原封包在NAT之前所用的来源端口介于1024-65535,则代 换成1024-65535之间的未用通讯端口。


举例来说,如果网关器用于连接Internet的接口是eth0,而境变量$STATIC含有eth0的固定IP地址(由ISP提供的位址),你可以使用下列规则来SNAT通过该网关器的所有出境封包,使外界误以为所有封包都是源自网关器:

iptables -t nat -A POSTROUTING -o eth0
-j SNAT - -to $STATIC


相关参考:

●《DNAT目标》:转译封包的目的地位址。

● 《SAME目标》。

● 《MASQUERADE目标》:与SNAT有相似效果,但是具有联机追踪能力,适合用于没有固定public IP的场合(在这种情况下使用SNAT会有奇怪的后果)。


state过滤条件

利用联机追踪信息,过滤出处于特定状态集合的联机的封包。《表68》说明此筛选条件唯一的选项。


===========================================
诀窍

本筛选条件必须在核心支援CONFIG_IP_NF_MATCH_STATE组态时才有效。

===========================================





举例来说,如果网关器用于连接Internet的接口是eth0,你可以使用下列命令避免转接源自外界的连线的封包(避免Internet上的坏蛋透过你的网关器干坏事):

iptables -A FORWARD -m state NEW -i eth0 -j DROP


string过滤条件

过 滤出承载数据中含有特定字符串的封包。由于string只是针对个别封包的内容进行字符串比对,所以,不应该用它来辨识写被丢弃的封包,因为误判的危险性 相当高。string过滤条件的设计原意是用于搭配QUEUE目标,将符合条件的封包交东userspace里的程序进行后续检验。《表69》说明此过滤 条件唯一的选项。





举例来说,下列规则可将含有“.pif”字符串的封包排入队列,供入侵侦测系统(IDS)执行后续检验:

iptables -A INPUT -m string - -string .pif -j QUEUE

请注意, string过滤条件不能用来比对跨越封包边界的字符串所以,如果有一个封包的承载内容的结尾刚好是“.p”而下一个封包的承载内容的开始处是“if”,string就找不出来了。

tcp筛选条件
针对TCP协议的筛选条件扩充模块。在iptables命令列使用-p tcp选项可自动加载本扩充模块。《表70》说明本模块自选项,《表71》提供TCP协议的各种标志。


《图8》是TCP header的结构。





《图9》是TCP header中的「Control Bits」字段的结构。








通 讯端口(port)可以用「服务名称」(定义于系统的/etc/services档案)表示,也可以直接以「数值编号」表示通讯端口(port)可以用 「服务名称」(定义于系统的/etc/services档案)表示,也可以直接以「数值编号」表示。《表74》是TCP port范围的分配情况,《表75》列出最常「的通讯端口」《表74》是TCP port范围的分配情况,《表75》列出最常「的通讯端口」。






CP标志主要是用于联机的搭建与撤除,《表72》解释各阶段所用的标志组合。











关於“已成历史”(1994年之前)的通讯端口配置方式,请参阅RFC 1700 《Assigned Numbers》;最新、最完整、最正式的配置方式,可从
http://www.iana.org/assignments/port-numbers下载自由取得。






《表75》中的「Microsoft」通讯端口,摘錄自Microsoft Knowledge Base Article 150543
(可从http://support.microsoft.com/default.aspx?scid=kb;en-us;150543取得)。


tcpmss过滤条件

以TCP/IP的Maximum Segment Size(MSS)标头栏位为过滤条件。本过滤条件仅对TCP SYN或SYN/ACK包有效。《表76)說明tcpmss过滤条件唯一的选项。


=====================================
诀窍

tcpmss筛选条件必须在核心支援CONFIG_IP_NF_MATCH_TCPMSS组态时才有效。
=====================================





相关参考:

● tcp过滤条件的- -mss选项。

● 《TCPMSS目标》


TCPMSS目标
修改TCP/IP Maximum Segment Size标头栏位的值。《表77》說明TCPMSS目标的选项。在同一规则里,这些选项必须择一而用。

范例:

iptables... -j TCPMSS - -clamp-mss-to-pmtu


=================================
诀窍

TCPMSS 目标必须在核心支援CONFlG_IP_NF_TARGET_TCPMSS组态时才有效。

=================================





相关参考:

● tcp过滤条件的- -mss选项。

● (tcpmss过滤条件)。



注译:封包可以称为套件或包.
埠或称呼为端口.



To be continued....... 
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值