Linux Iptables 语法大全(1)(2)
8. TCP匹配扩展
通过使用--tcp-flags选项可以根据tcp包的标志位进行过滤,该选项后接两个参数:第一个参数为要检查的标志位,可以是SYN,ACK,FIN,RST,URG,PSH的组合,可以用ALL指定所有标志位;第二个参数是标志位值为1的标志。比如你要过滤掉所有SYN标志位为1的tcp包,可以使用以下规则:
iptables -A FORWARD -p tcp --tcp-flags ALL SYN -j DROP
选项--syn是以上的一种特殊情况,相当于“--tcp-flags SYN,RST,ACK SYN”的简写。
9. mac匹配扩展
可以使用-m选项来扩展匹配内容。使用--match mac/-m
mac匹配扩展可以用来检查ip数据包的源mac地址。只要在--mac-source后面跟上mac地址就可以了。比如:
iptables -A FORWARD -m mac --mac-source 00:00:BA:A5:7D:12 -j DROP
需要注意的是一个ip包在经过路由器转发后,其源mac地址已经变成了路由器的mac地址。
10. limit匹配扩展
limit扩展是一个非常有用的匹配扩展。使用-m nat 来指定,其后可以有两个选项:
--limit avg:
指定单位时间内允许通过的数据包的个数。单位时间可以是/second、/minute、/hour、/day或使用第一个字母,比如5/second和5/s是一样的,都是表示每秒可以通过5个数据包,缺省值是3/hour。
--limit-burst number:指定触发事件的阀值,缺省值是5。
看起来好像有点复杂,就让我们来看一个例子:
假设又如下的规则:
iptables -A INPUT -p icmp -m limit --limit 6/m --limit-burst 5 -j ACCEPT
iptables -P INPUT DROP
然后从另一部主机上ping这部主机,就会发生如下的现象:
首先我们可以看到前四个包的回应都很正常,然后从第五个包开始,我们每10秒可以收到一个正常的回应。这是因为我们设定了单位时间(在这里是每分钟)内允许通过的数据包的个数是每分钟6个,也即每10秒钟一个;其次我们又设定了事件触发阀值为5,所以我们的前四个包都是正常的,只是从第五个包开始,限制规则开始生效,故只能每10秒收到一个正常回应。
假设我们停止ping,30秒后又开始ping,这时的现象是:
前两个包是正常的,从第三个包开始丢包,这是因为在这里我的允许一个包通过的周期是10秒,如果在一个周期内系统没有收到符合条件的包,系统的触发值就会恢复1,所以假如我们30秒内没有符合条件的包通过,系统的触发值就会恢复到3,假如5个周期内都没有符合条件的包通过,系统都触发值就会完全恢复。不知道你明白了没有,欢迎你来信讨论。
11. LOG目标扩展
netfilter缺省的目标(也就是一旦满足规则所定义以后系统对数据包的处理方法)有:
ACEEPT:接收并转发数据包
DORP:丢掉数据包
目标扩展模块提供了扩展的目标。LOG目标提供了记录数据包的功能。该目标扩展有以下几个参数:
--log-level:指定记录信息的级别,级别有debug、info、notice、warning、err、crit、alert、emerg分别对应7到0的数字。其含义请参看syslog.conf的man手册。
--log-prefix:后接一个最长为30个字符的字符串,该字符串将出现在每一条日志的前面。
12. REJECT目标扩展
该目标扩展完全和DORP标准目标一样,除了向发送方返回一个“port
unreachable”的icmp信息外。
还有其他一些扩展是常用的,如果你想了解可以参考Packet-Filtering-HOWTO。当然,最直接获得帮助的办法是查看iptables的在线帮助,比如想得到关于mac匹配扩展的帮助可以执行“iptables
-m mac -help”命令,想得到LOG目标扩展的帮助可以执行“iptables -j LOG
-help”命令。
通过文章,我们知道了十二条有用的Linux Iptables 语法,希望对大家有所帮助!
评论暂时关闭