Netfilter的高级使用
2024-01-17 01:29:06 8267次 佚名
- 类型：生活服务
- 时间： 2024-11-01
- 标签：娱乐,搜索,体育,电竞,搜索引擎,浏览器,应用商店,手机助手,短信,隐私
要使用这些功能， 请先下载最新的iptables源码。解压后，执行
make pending-patches KERNEL_DIR=<
1． ah-esp 增加两个扩展，允许匹配ipsec包中ah或esp包头中的一段SPI(security parameters index)。
2． ct-netlink 使用户空间程序可以通过netlink获得连接跟踪的状态，并可经由用户空间改变连接状态。这个补丁与其他大多数补丁冲突。
3． dropped-table 加了一个drop表，被drop的包遍历这个表。和其他大部分补丁冲突。
4． ftos 扩展的tos，可以设置tos为0x0到0xff之间的任何值，用于简单的Qos。
5． iplimit 限制每客户到主机或网络的并发连接数。例如：
iptables -p tcp --syn --dport 23 -m iplimit --iplimit-above 2 -j REJECT
(每客户最多两个telnet连接)，等效于iptables -p tcp --syn --dport 23 -m iplimit ! --iplimit-above 2 -j ACCEPT
限制到每个c类网络最多16个http连接
iptables -p tcp --syn --dport 80 -m iplimit --iplimit-above 16 \
--iplimit-mask 24 -j REJECT
6． ipv4options 匹配ip操作，使用该功能可以过滤掉源路由、记录路由、时间戳等ip操作。iptables -m ipv4options –help可以得到详细的帮助。例如iptables -A input -m ipv4options --rr -j DROP 过滤掉记录路由的包，iptables -A input -m ipv4options --ts -j DROP 过滤掉带时间戳操作的ip包。
7． irc-conntrack-nat 对irc的DCC(Direct Client-to-Client)协议的支持。
8． length 允许以指定值或指定范围匹配包长度。例如POD这样的大包可以直接drop。最小包长为0，最大的是0xffff。
9． mport 对multiport功能的增强。可以对单个端口和一段连续端口混合指定。看来是很好，不过我测试的时候这个功能不能用（2.4.6 & 2.4.9内核）。
10． netlink 用户空间可以经由netlink接收包。一个可用的用户空间程序fwmon (http://firestorm.geek-ware.co.uk)。这个补丁基本类似ipchains的-o操作。
11． netmap 为nat表增加了一个NETMAP目标。提供一对一的网络映射支持。它可以在PREROUTING链中改变流入包的目标地址，在POSTROUTING链中改变输出包的源地址。使用范例如下：
iptables -t nat -A PREROUTING -d 1.2.3.0/24 -j NETMAP --to 5.6.7.0/24
iptables -t nat -A POSTROUTING -s 5.6.7.0/24 -j NETMAP --to 1.2.3.0/24
12． nth 提供对第n个包的匹配。
13． pkttype 按类匹配包。例如broadcast、multicast等。使用范例如下：
iptables -A INPUT -m pkttype --pkt-type broadcast -j LOG。
14． pool 提供一种方法，用位图中的每一位代表一个地址，使用时需要一个用户空间程序ippool。
15． psd 端口扫描察觉，设计思想来自于Solar Designer的scanlogd。支持如下选项：
a. --psd-weight-threshold
同一主机到不同目标端口发出多少包之后匹配
b. --psd-delay-threshold
同一主机到不同目标端口的连接间隔多少时间之内匹配
c. --psd-lo-ports-weight
访问多少个特权目标端口后匹配
d. --psd-hi-ports-weight
访问多少个非特权端口后匹配。
16． realm 使用前要求设置Qos配置里的CONFIG_NET_CLS_ROUTE4，允许在iptables里使用realm key，可以依照匹配的路由表项分类输出包。
17． record-rpc 增加两个模块ip_conntrack_rpc_udp和ip_conntrack_rpc_tcp，分别记录tcp和udp的portmap请求，增加record-rpc模块，可以鉴别一个rpc连接是一个到portmap的映射请求还是一个portmap映射后的连接。用这种方法可以方便的实现rpc过滤。
18． SAME 类似于标准的SNAT，不过为客户端的每个连接提供相同的ip地址。同时提供—nodst选项，选择源ip的时候不会使用这个选项后的ip地址。与dropped-table不兼容。
19． snmp-nat 这个模块实现snmp负载的ALC(应用层网关)，结合nat，它允许网络管理系统存取多个私有网络，即使他们的ip地址冲突也没有关系。他通过改变snmp负载中的ip地址来匹配ip层的nat映射。这是SNMP-ALG的基本形式，在rfc2962中有详细的描述。
20． string 允许匹配含有特定字符串的包。可以做个简单的ids。
21． tcp-MSS 增加tcp-MSS目标。允许调整tcp syn包里的MSS域，用于控制连接包的最大长度。
一些防火墙或主机会很不适当的过滤掉type 3、code 4（需要分片）的icmp包。表现出来的现象如下：
a． 浏览网页时，什么也没有收到连接就挂起了。
b． 小邮件能收到，大邮件收不到。
c． ssh工作的很好，但scp在握手成功后就挂起了。
Tcp-MSS目标就是用来解决此类问题的。目前发行的linux的内核从2.4.7开始已经包含了这个补丁。
22． tcp-window-tracking 这个补丁是依据Guido van Rooij [1]写的论文'Real Stateful TCP Packet Filtering in IP Filter'实现的tcp连接跟踪记录，可以对已经建立的tcp连接进行连接跟踪。增加了Window scaling支持。
[1] http://www.iae.nl/users/guido/papers/tcp_filtering.ps.gz
23． time 增加对时间的匹配，可以指定某条规则在什么时间触发，在什么时间无效。iptables -m time –help可以得到详细的帮助。这个补丁增加了如下参数：
a．--timestart HH:MM
何时触发
b．--timestop HH:MM
何时无效
c．--days Tue,Mon...
一周中的某几天有效
例如-m time --timestart 8:00 --timestop 18:00 --days Mon,Tue,Wed,Thu,Fri就是说每周的周一到周五从8：00到18：00这条规则有效。
需要注意的是这个补丁目前还不能处理时区，使用时只能使用UTC时间。
24． TTL 增加一个TTL目标。可以使用户用指定值递增或递减ttl值。
25． ulog 增加一个ULOG目标。跳到这个目标的包使用netlink multicast sockets送到用户空间守护进程。不像LOG目标，后者只能通过syslog来察看。Libipulog目录下是接收ulog信息的库文件。用户空间守护进程的一个实现ulogd可以从http://www.gnumonks.org/projects/ulogd得到。
因为条件所限，以上所写的大多没有经过测试，错漏之处，欢迎指正。
相关文章
-
操作系统常见问题：利用extract解压缩CAB文件
你在 Windows 95 或98的光盘里都会看到 Windows 的源文件都是以.cab 的方式储存着，.cab 文件是 Windows
-
为Win 2003加装视频压缩
最近刚装了Windows server 2003，觉得挺好用的，但是新的问题就来了，玩CS时开头动画没有图像，只有声音。提示“视频无法使用
-
XP实用技巧:关闭压缩旧文件功能
如果我们使用NTFS文件系统的话，我们可以通过“磁盘整理”中的“压缩旧文件”功能来节省被那些大量长时间没有使用的文件所占用的硬盘空间（如图
-
机车 眩高清汽车局部
[1][2][3]
-
路由器的安全配置
随着Internet的快速发展和政府、企业上网工程的日益推广，越来越多的政府机关和企业在网络上建立网站来进行对外宣传，这样，网络上的安全问
-
专题：光盘刻录全接触
刻录机，这个几年前的奢侈品，现在已经成了标准配制。硬盘中东西太多，借到一张好盘想留一张，有了刻录机就都迎刃而解了。刻录软件使用简单，一目
-
服务器端调用winzip命令行对上传的多个文件打包压缩
要解决这个问题，首先要了解一下Windows Scripting Host,简称为WSH！下面引用一下微软给的解释： WSH是微软脚本技术
-
在C#中利用SharpZipLib进行文件的压缩和解压缩
我在做项目的时候需要将文件进行压缩和解压缩，于是就从http://www.icsharpcode.net下载了关于压缩和解压缩的源码，但是下载下来后，面对这么多的代码，一时不知如何下手。只好耐下心来，慢慢的研究，总算找到了门路。针对自己的需要改写了文件压缩和解压缩的两个类，分别为ZipClass和UnZipClass。其中碰到了不少困难，就决定写出来压缩和解压的程序后，一定把源码贴出来共享，让首
-
巧改ISO文件 刻录光盘中的隐藏文件自己造
在许多正版光盘中，都存在不少隐藏的目录或文件。如果能在刻录光盘时打造自己的隐藏文件，岂不妙哉。那还等什么，赶快跟我来吧！ 一、原理篇 ISO 9660 记录规定光盘镜像文件的每一个目录和文件都有一定的格式、规定和记录，其中第26个字节记录的就是文件夹标记项。那么光盘隐藏的原理就是修改ISO文件的第26个字节的位置，让光盘产生文件确实存在，但又看不到文件和目录的特殊效果。 二、操作篇
-
长虹进军刻录DVD市场 刻录DVD价格有望跳水
南方日报 本报讯 (记者 郎朗) 近日，继万利达发起刻录DVD普及风暴后，长虹也宣布将正式进入刻录DVD市场。与此同时，飞利浦也宣布，今年飞利浦DVD刻录机将会在定价策略上有所改变。一时间，国内刻录DVD市场“山雨欲来”。 据长虹新闻发言人刘海中介绍，长虹刻录DVD已完成在北京、广州、成都等城市的家电大卖场的布局。同时，2000年就将刻录DVD引入中国的飞利浦也在加紧收复失地。新上任的飞利
近期热点
-
脚步轻轻,Linux的2003之路
> Linux的脚步轻轻，却已然悄悄改变世界。Linux从未向Win…
-
如何用WinRAR合并音频文件
如何用WinRAR合并音频文件： WinRAR的压缩、解压缩功能，想必…
