接続追跡 (conntrack)
接続追跡は、多くのネットワーク アプリケーションの基礎です。たとえば、Kubernetes Service、ServiceMesh サイドカー、ソフトウェア 4 層ロード バランサー LVS/IPVS、Docker ネットワーク、OVS、iptables ホスト ファイアウォールなどはすべて接続追跡機能に依存しています。 #接続追跡は、その名前が示すように、接続のステータスを追跡 (および記録) することです。 。 たとえば、図 1.1 は IP アドレス 10.1.1.2 の Linux マシンです。このマシンには 3 つの接続があることがわかります。 # マシンが外部 HTTP サービスにアクセスするための接続 (宛先ポート 80)
- マシン内の FTP サービスに外部アクセスするための接続 (宛先ポート 80)ポート 21)
- 外部 DNS サービスにアクセスするためのマシンの接続 (宛先ポート 53)
- 接続追跡では、次のような接続のステータスを検出して追跡します。
##データ パケットからタプル情報を抽出し、データ フロー (フロー) と対応する接続 (接続)。
- #すべての接続のステータス データベース (conntrack テーブル) (接続の作成時間、送信されたパケット数、バイト数など) を維持します。などを送信しました。
- # 上位レベルの機能 (NAT など) のサービスを提供します。
接続追跡における「接続」の概念は、TCP/IP プロトコルにおける「接続指向」の概念と同じであることに注意してください。 「接続」はまったく同じではありませんが、簡単に言うと、
- TCP/IP プロトコルでは、接続はレイヤー 4 の概念です。 TCP は接続指向であり、送信されるすべてのパケットにはピアからの応答 (ACK) が必要であり、再送信メカニズムがあります。 UDP はコネクションレス型であり、送信されたパケットはピアからの応答を必要とせず、再送信メカニズムもありません。
- conntrack(CT)では、タプル(tuple)で定義されるデータの流れ(フロー)が接続(コネクション)を表します。 UDP や ICMP などの 3 層プロトコルも CT に接続記録を持っていることが後でわかりますが、すべてのプロトコルが接続されるわけではありません。
#Netfilter
##Linux 接続追跡は Netfilter で実装されます。
Netfilter は、データ パケットの制御、変更、フィルタリング (操作とフィルタリング) を行う Linux カーネルのフレームワークです。カーネル プロトコル スタックにいくつかのフック ポイントを設定して、データ パケットをインターセプト、フィルタリング、またはその他の方法で処理します。接続追跡 (conntrack) というと、まず Netfilter を思い浮かべるかもしれませんが、Netfilter は Linux カーネル内の接続追跡の実装にすぎません。言い換えれば、フック機能があり、ホストに出入りするすべてのパケットを傍受できる限り、これに基づいて一連の接続追跡を独自に実装できます。 クラウド ネイティブ ネットワーク ソリューション Cilium は、バージョン 1.7.4 (完全版) でこのような独立した接続追跡と NAT メカニズムを実装しました。機能にはカーネル 4.19 が必要です)。基本原則は次のとおりです。 #Iptables
#) を使用する必要があります。
#Iptables は、Netfilter フィルタリング機能を設定するためのユーザー空間ツールです。
Netfilter はファイアウォールの実際のセキュリティ フレームワークであり、netfilter はカーネル空間にあります。 iptables は実際にはユーザー空間にあるコマンドライン ツールであり、実際のフレームワークを操作するためにこのツールを使用します。 iptable は、受け入れ、拒否、ドロップなどのルールで定義された方法に従ってデータ パケットを処理します。 たとえば、クライアントがサーバーの Web サービスにアクセスすると、クライアントはネットワーク カードにメッセージを送信します。tcp/ip プロトコル スタックはカーネルの一部であるため、クライアントの情報は通過します カーネルの TCP プロトコルはユーザー空間の Web サービスに送信されます このとき、クライアント メッセージのターゲット エンドポイントは Web サービスが監視するソケット (IP:ポート) です Web サービスが応答する必要がある場合クライアントリクエストに対して、Web サービスが送信する応答メッセージのターゲット宛先はクライアントです。このとき、Web サービスが監視している IP とポートが送信元になります。netfilter が本当のファイアウォールであると述べました。はカーネルの一部です。したがって、ファイアウォールに「火災予防」の目的を達成させたい場合は、カーネルにチェックポイントを設定する必要があります。すべての送受信メッセージはこれらのチェックポイントを通過する必要があります。検査後、解除条件を満たしているものは解除でき、ブロック条件を満たしているものは解除できます。 
#iptables には 4 つのテーブルと 5 つのチェーンが含まれています。テーブルはデータ パケットに対する操作 (フィルタリング、NAT など) によって区別され、チェーンはフック ポイントの違いによって区別され、テーブルとチェーンは実際には netfilter の 2 つの次元です。iptables の 4 つのテーブルは、filter、mangle、nat、および raw です。デフォルトのテーブルは filter です。 - フィルター テーブル: データ パケットのフィルターに使用され、特定のルール要件によってデータ パケットの処理方法が決まります。
- nat テーブル: 主にデータ パケットの IP アドレスとポート番号情報を変更するために使用されます。
- マングル テーブル: 主に、データ パケットのサービス タイプとライフ サイクルの変更、データ パケットのタグの設定、トラフィック シェーピング、ポリシー ルーティングなどの実装に使用されます。 。
- #生テーブル: 主に、データ パケットのステータス追跡を実行するかどうかを決定するために使用されます。
iptables の 5 つのチェーンは、PREROUTING、INPUT、FORWARD、OUTPUT、および POSTROUTING です。 - 入力チェーン: このチェーンのルールは、ローカル アドレスにアクセスするパケットを受信したときに適用されます。
- 出力チェーン: マシンがパケットを送信すると、このチェーンのルールが適用されます。
- 転送チェーン: 他のアドレスに転送する必要があるデータ パケットを受信すると、このチェーンのルールが適用されます。フォワード転送を実装するには、Linux カーネルの ip_forward 関数を有効にする必要があります。
- プレルーティング チェーン: このチェーンのルールは、パケットをルーティングする前に適用されます。
- ポストルーティング チェーン: このチェーンのルールは、パケットのルーティング後に適用されます。
いくつかの一般的なシナリオが想像できます。 、メッセージのフロー方向: - ローカル マシンの特定のプロセスへのメッセージ: PREROUTING –> INPUT。
- このマシンによって転送されたメッセージ: PREROUTING –> FORWARD –> POSTROUTING。
- メッセージ (通常は応答メッセージ) は、ローカル マシン上のプロセス OUTPUT –> POSTROUTING によって送信されます。
データ パケットがファイアウォールを通過するプロセスは次のように要約できます: クエリ ルール
-
- -v: カウンタ情報、パケットの数とサイズを表示します
- -x: オプション表示カウンタの正確な値を示します
- ##--line-numbers: 表示ルールのシリアル番号 (--line と省略)
- さらに、Linux でパブリック アカウントを検索するときに、バックグラウンドで「サル」と返信してサプライズ ギフト パッケージを入手する方法を学習する必要があります。
#iptables -t filter -nvxL DOCKER --lineChain DOCKER (1 references)num pkts bytes target prot opt in out source destination1 5076 321478 ACCEPT tcp -- !docker0 docker0 0.0.0.0/0 172.17.0.2 tcp dpt:84432 37233 54082508 ACCEPT tcp -- !docker0 docker0 0.0.0.0/0 172.17.0.2 tcp dpt:223 1712 255195 ACCEPT tcp -- !docker0 docker0 0.0.0.0/0 172.17.0.3 tcp dpt:90004 0 0 ACCEPT tcp -- !docker0 docker0 0.0.0.0/0 172.17.0.3 tcp dpt:80005 40224 6343104 ACCEPT tcp -- !docker0 docker0 0.0.0.0/0 172.17.0.4 tcp dpt:34436 21034 2227009 ACCEPT tcp -- !docker0 docker0 0.0.0.0/0 172.17.0.5 tcp dpt:33067 58 5459 ACCEPT tcp -- !docker0 docker0 0.0.0.0/0 172.17.0.6 tcp dpt:808 826 70081 ACCEPT tcp -- !docker0 docker0 0.0.0.0/0 172.17.0.6 tcp dpt:4439 10306905 1063612492 ACCEPT tcp -- !docker0 docker0 0.0.0.0/0 172.17.0.9 tcp dpt:330610 159775 12297727 ACCEPT tcp -- !docker0 docker0 0.0.0.0/0 172.17.0.7 tcp dpt:11111
ログイン後にコピー
增加规则
在指定表的指定链的尾部添加一条规则，-A 选项表示在对应链的末尾添加规则，省略 -t 选项时，表示默认操作 filter 表中的规则：命令语法：iptables -t 表名 -A 链名 匹配条件 -j 动作示例：iptables -t filter -A INPUT -s 192.168.1.146 -j DROP
ログイン後にコピー
命令语法：iptables -t 表名 -I 链名 匹配条件 -j 动作示例：iptables -t filter -I INPUT -s 192.168.1.146 -j ACCEPT
ログイン後にコピー
命令语法：iptables -t 表名 -I 链名 规则序号 匹配条件 -j 动作示例：iptables -t filter -I INPUT 5 -s 192.168.1.146 -j REJECT
ログイン後にコピー
删除规则
按照规则序号删除规则，删除指定表的指定链的指定规则，-D 选项表示删除对应链中的规则。示例表示删除filter表中INPUT链中序号为3的规则。：命令语法：iptables -t 表名 -D 链名 规则序号示例：iptables -t filter -D INPUT 3
ログイン後にコピー
命令语法：iptables -t 表名 -D 链名 匹配条件 -j 动作示例：iptables -t filter -D INPUT -s 192.168.1.146 -j DROP
ログイン後にコピー
命令语法：iptables -t 表名 -F 链名示例：iptables -t filter -F INPUT
ログイン後にコピー
修改规则
修改指定表中指定链的指定规则，-R 选项表示修改对应链中的规则，使用 -R 选项时要同时指定对应的链以及规则对应的序号，并且规则中原本的匹配条件不可省略。示例表示修改filter表中INPUT链的第3条规则，将这条规则的动作修改为ACCEPT， -s 192.168.1.146为这条规则中原本的匹配条件，如果省略此匹配条件，修改后的规则中的源地址可能会变为0.0.0.0/0：命令语法：iptables -t 表名 -R 链名 规则序号 规则原本的匹配条件 -j 动作示例：iptables -t filter -R INPUT 3 -s 192.168.1.146 -j ACCEPT
ログイン後にコピー
命令语法：iptables -t 表名 -P 链名 动作示例：iptables -t filter -P FORWARD ACCEPT
ログイン後にコピー
保存规则
方式一
当我们对规则进行了修改以后，如果想要修改永久生效，必须使用下面命令保存规则：service iptables save
ログイン後にコピー
#配置好yum源以后安装iptables-serviceyum install -y iptables-services#停止firewalldsystemctl stop firewalld#禁止firewalld自动启动systemctl disable firewalld#启动iptablessystemctl start iptables#将iptables设置为开机自动启动，以后即可通过iptables-service控制iptables服务systemctl enable iptables
ログイン後にコピー
方式二
还可以使用另一种方法保存 iptables 规则，就是使用 iptables-save 命令。使用 iptables-save 并不能保存当前的 iptables 规则，但是可以将当前的 iptables 规则以”保存后的格式”输出到屏幕上。所以，我们可以使用 iptables-save 命令，再配合重定向，将规则重定向到 /etc/sysconfig/iptables 文件中即可。iptables-save > /etc/sysconfig/iptables
ログイン後にコピー
加载规则
我们也可以将 /etc/sysconfig/iptables 中的规则重新载入为当前的iptables 规则，但是注意，未保存入 /etc/sysconfig/iptables 文件中的修改将会丢失或者被覆盖。使用 iptables-restore 命令可以从指定文件中重载规则，示例如下iptables-restore < /etc/sysconfig/iptables
ログイン後にコピー
匹配条件
当规则中同时存在多个匹配条件时，多个条件之间默认存在”与”的关系，即报文必须同时满足所有条件，才能被规则匹配。-s 用于匹配报文的源地址,可以同时指定多个源地址，每个IP之间用逗号隔开，也可以指定为一个网段。#示例如下iptables -t filter -I INPUT -s 192.168.1.111,192.168.1.118 -j DROPiptables -t filter -I INPUT -s 192.168.1.0/24 -j ACCEPTiptables -t filter -I INPUT ! -s 192.168.1.0/24 -j ACCEPT
ログイン後にコピー
#示例如下iptables -t filter -I OUTPUT -d 192.168.1.111,192.168.1.118 -j DROPiptables -t filter -I INPUT -d 192.168.1.0/24 -j ACCEPTiptables -t filter -I INPUT ! -d 192.168.1.0/24 -j ACCEPT
ログイン後にコピー
#示例如下iptables -t filter -I INPUT -p tcp -s 192.168.1.146 -j ACCEPTiptables -t filter -I INPUT ! -p udp -s 192.168.1.146 -j ACCEPT
ログイン後にコピー
#示例如下iptables -t filter -I INPUT -p icmp -i eth4 -j DROPiptables -t filter -I INPUT -p icmp ! -i eth4 -j DROP
ログイン後にコピー
#示例如下iptables -t filter -I OUTPUT -p icmp -o eth4 -j DROPiptables -t filter -I OUTPUT -p icmp ! -o eth4 -j DROP
ログイン後にコピー
扩展匹配条件
tcp扩展模块
- –sport：用于匹配 tcp 协议报文的源端口，可以使用冒号指定一个连续的端口范围。
- –dport：用于匹配 tcp 协议报文的目标端口，可以使用冒号指定一个连续的端口范围。
- –tcp-flags：用于匹配报文的tcp头的标志位。
- –syn：用于匹配 tcp 新建连接的请求报文，相当于使用
<span style="outline: 0px;font-size: 17px;">–tcp-flags SYN,RST,ACK,FIN SYN</span>。
注意，-p tcp与 -m tcp 并不冲突，-p 用于匹配报文的协议，-m 用于指定扩展模块的名称，正好，这个扩展模块也叫 tcp。#示例如下iptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp --sport 22 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 22:25 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport :22 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m tcp --dport 80: -j REJECTiptables -t filter -I OUTPUT -d 192.168.1.146 -p tcp -m tcp ! --sport 22 -j ACCEPTiptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN -j REJECTiptables -t filter -I OUTPUT -p tcp -m tcp --sport 22 --tcp-flags SYN,ACK,FIN,RST,URG,PSH SYN,ACK -j REJECTiptables -t filter -I INPUT -p tcp -m tcp --dport 22 --tcp-flags ALL SYN -j REJECTiptables -t filter -I OUTPUT -p tcp -m tcp --sport 22 --tcp-flags ALL SYN,ACK -j REJECTiptables -t filter -I INPUT -p tcp -m tcp --dport 22 --syn -j REJECT
ログイン後にコピー
udp 扩展模块
#示例iptables -t filter -I INPUT -p udp -m udp --dport 137 -j ACCEPTiptables -t filter -I INPUT -p udp -m udp --dport 137:157 -j ACCEPT
ログイン後にコピー
icmp 扩展模块
- –icmp-type：匹配icmp报文的具体类型。
#示例iptables -t filter -I INPUT -p icmp -m icmp --icmp-type 8/0 -j REJECTiptables -t filter -I INPUT -p icmp --icmp-type 8 -j REJECTiptables -t filter -I OUTPUT -p icmp -m icmp --icmp-type 0/0 -j REJECTiptables -t filter -I OUTPUT -p icmp --icmp-type 0 -j REJECTiptables -t filter -I INPUT -p icmp --icmp-type "echo-request" -j REJECT
ログイン後にコピー
multiport 扩展模块
- -p tcp -m multiport –sports 用于匹配报文的源端口，可以指定离散的多个端口号,端口之间用”逗号”隔开。
- -p udp -m multiport –dports 用于匹配报文的目标端口，可以指定离散的多个端口号，端口之间用”逗号”隔开。
#示例如下iptables -t filter -I OUTPUT -d 192.168.1.146 -p udp -m multiport --sports 137,138 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 22,80 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport ! --dports 22,80 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 80:88 -j REJECTiptables -t filter -I INPUT -s 192.168.1.146 -p tcp -m multiport --dports 22,80:88 -j REJECT
ログイン後にコピー
iprange 模块
#示例iptables -t filter -I INPUT -m iprange --src-range 192.168.1.127-192.168.1.146 -j DROPiptables -t filter -I OUTPUT -m iprange --dst-range 192.168.1.127-192.168.1.146 -j DROPiptables -t filter -I INPUT -m iprange ! --src-range 192.168.1.127-192.168.1.146 -j DROP
ログイン後にコピー
牛逼啊！接私活必备的 N 个开源项目！赶快收藏
ログイン後にコピー
string 模块
- –algo：指定对应的匹配算法，可用算法为bm、kmp，此选项为必需选项。
我们想要达到的目的是，如果报文中包含”OOXX”字符，我们就拒绝报文进入本机：#示例
iptables -t filter -I INPUT -m string --algo bm --string "OOXX" -j REJECT
ログイン後にコピー
time 模块
- –timestart：用于指定时间范围的开始时间，不可取反。
- –timestop：用于指定时间范围的结束时间，不可取反。
- –datestart：用于指定日期范围的开始日期，不可取反。
- –datestop：用于指定日期范围的结束时间，不可取反。
#示例
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --timestart 09:00:00 --timestop 19:00:00 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 443 -m time --timestart 09:00:00 --timestop 19:00:00 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --weekdays 6,7 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --monthdays 22,23 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time ! --monthdays 22,23 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --timestart 09:00:00 --timestop 18:00:00 --weekdays 6,7 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --weekdays 5 --monthdays 22,23,24,25,26,27,28 -j REJECT
iptables -t filter -I OUTPUT -p tcp --dport 80 -m time --datestart 2017-12-24 --datestop 2017-12-27 -j REJECT
ログイン後にコピー
connlimit 模块
- –connlimit-above：单独使用此选项时，表示限制每个IP的链接数量。
- –connlimit-mask：此选项不能单独使用，在使用–connlimit-above选项时，配合此选项，则可以针对”某类IP段内的一定数量的IP”进行连接数量的限制，如果不明白可以参考上文的详细解释。
#示例
iptables -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 2 -j REJECT
iptables -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 20 --connlimit-mask 24 -j REJECT
iptables -I INPUT -p tcp --dport 22 -m connlimit --connlimit-above 10 --connlimit-mask 27 -j REJECT
ログイン後にコピー
limit 模块
connlimit 模块是对连接数量进行限制的，limit 模块是对”报文到达速率”进行限制的。用大白话说就是，如果我想要限制单位时间内流入的包的数量，就能用 limit 模块。我们可以以秒为单位进行限制，也可以以分钟、小时、天作为单位进行限制。常用的扩展匹配条件如下：- –limit-burst：类比”令牌桶”算法，此选项用于指定令牌桶中令牌的最大数量。
- –limit：类比”令牌桶”算法，此选项用于指定令牌桶中生成新令牌的频率，可用时间单位有second、minute 、hour、day。
示例表示限制外部主机对本机进行ping操作时，本机最多每6秒中放行一个ping包#示例，注意，如下两条规则需配合使用
#令牌桶中最多能存放3个令牌，每分钟生成10个令牌（即6秒钟生成一个令牌）。
iptables -t filter -I INPUT -p icmp -m limit --limit-burst 3 --limit 10/minute -j ACCEPT
#默认将icmp包丢弃
iptables -t filter -A INPUT -p icmp -j REJECT
ログイン後にコピー
state 扩展模块
当我们通过 http 的 url 访问某个网站的网页时，客户端向服务端的 80 端口发起请求，服务端再通过 80 端口响应我们的请求，于是，作为客户端，我们似乎应该理所应当的放行 80 端口，以便服务端回应我们的报文可以进入客户端主机，于是，我们在客户端放行了 80 端口，同理，当我们通过 ssh 工具远程连接到某台服务器时，客户端向服务端的 22 号端口发起请求，服务端再通过 22 号端口响应我们的请求，于是我们理所应当的放行了所有 22 号端口，以便远程主机的响应请求能够通过防火墙，但是，作为客户端，如果我们并没有主动向 80 端口发起请求，也没有主动向 22 号端口发起请求，那么其他主机通过 80 端口或者 22 号端口向我们发送数据时，我们可以接收到吗？应该是可以的，因为我们为了收到 http 与 ssh 的响应报文，已经放行了 80 端口与 22 号端口，所以，不管是”响应”我们的报文，还是”主动发送”给我们的报文，应该都是可以通过这两个端口的，那么仔细想想，这样是不是不太安全呢？此时 state 扩展模块就派上用场了。状態モジュールの接続の場合、「接続」内のメッセージは次の 5 つの状態に分類できます。 - NEW: The status of the first packet in the connection is NEW. 新しい接続の最初のパケットのステータスが NEW であることがわかります。
- ESTABLISHED: NEW ステータス パケットの後のパケットのステータスは ESTABLISHED として理解でき、接続が確立されたことを示します。
- RELATED: 文字通り理解すると、RELATED は関係と訳されますが、これを理解するのはまだ簡単ではありません。例を挙げてみましょう。たとえば、FTP サービスでは、FTP サーバーはコマンド プロセスとデータ プロセスの 2 つのプロセスを作成します。コマンドプロセスは、サーバーとクライアント間のコマンド送信を担当します（この送信プロセスは、いわゆる「接続」状態として理解でき、一時的に「コマンド接続」と呼びます）。データ プロセスは、サーバーとクライアント間のデータ送信を担当します (このプロセスを一時的に「データ接続」と呼びます)。ただし、送信する特定のデータはコマンドによって制御されるため、「データコネクション」のメッセージは「コマンドコネクション」と「関連」します。次に、「データ接続」のパケットは「コマンド接続」のパケットに関連しているため、RELATED 状態になる可能性があります。 (注: FTP の接続追跡を実行したい場合は、対応するカーネル モジュール nf_conntrack_ftp を個別にロードする必要があります。これを自動的にロードしたい場合は、/etc/sysconfig/iptables-config ファイルを設定できます)
- INVALID: パケットが識別できない場合、またはパケットにステータスがない場合、パケットのステータスは INVALID になります。INVALID ステータスのメッセージをアクティブにブロックできます。
- Untracked: パケットのステータスが untracked である場合、パケットが追跡されていないことを意味します。パケットのステータスが Untracked の場合、通常はは、関連する接続が見つからないことを意味します。
刚才举例中的问题即可使用 state 扩展模块解决，我们只要放行状态为 ESTABLISHED 的报文即可，因为如果报文的状态为 ESTABLISHED，那么报文肯定是之前发出的报文的回应，这样，就表示只有回应我们的报文能够通过防火墙，如果是别人主动发送过来的新的报文，则无法通过防火墙：iptables -t filter -I INPUT -m state --state ESTABLISHED -j ACCEPT
ログイン後にコピー
mangle 表
mangle 表的主要功能是根据规则修改数据包的一些标志位，以便其他规则或程序可以利用这种标志对数据包进行过滤或策略路由。mangle 表主要有以下 3 种操作：- TOS：用来设置或改变数据包的服务类型域。这常用来设置网络上的数据包如何被路由等策略。注意这个操作并不完善，有时得不所愿。它在Internet 上还不能使用，而且很多路由器不会注意到这个域值。换句话说，不要设置发往 Internet 的包，除非你打算依靠 TOS 来路由，比如用 iproute2。
- TTL：用来改变数据包的生存时间域，我们可以让所有数据包只有一个特殊的 TTL。它的存在有 一个很好的理由，那就是我们可以欺骗一些ISP。为什么要欺骗他们呢？因为他们不愿意让我们共享一个连接。那些 ISP 会查找一台单独的计算机是否使用不同的 TTL，并且以此作为判断连接是否被共享的标志。
- MARK 用来给包设置特殊的标记。iproute 2能识别这些标记，并根据不同的标记（或没有标记） 决定不同的路由。用这些标记我们可以做带宽限制和基于请求的分类。
例如内网的客户端通过 Linux 主机连入 Internet，而 Linux 主机与Internet 连接时有两条线路，它们的网关如图所示。现要求对内网进行策略路由，所有通过 TCP 协议访问 80 端口的数据包都从 ChinaNet 线路出去，而所有访问 UDP 协议 53 号端口的数据包都从 Cernet 线路出去。这是一个策略路由的问题，为了达到目的，在对数据包进行路由前，要先根据数据包的协议和目的端口给数据包做上一种标志，然后再指定相应规则，根据数据包的标志进行策略路由。为了给特定的数据包做上标志，需要使用mangle 表，mangle 表共有 5 条链，由于需要在路由选择前做标志，因此应该使用 PREROUTING 链，下面是具体的命令：iptables -t mangle -A PREROUTING -i eth0 -p tcp --dport 80 -j MARK --set-mark 1;
iptables -t mangle -A PREROUTING -i eth0 -p udp --dprot 53 -j MARK --set-mark 2;
ログイン後にコピー
ip rule add from all fwmark 1 table 10
ip rule add from all fwmark 2 table 20
ログイン後にコピー
ip route add default via 10.10.1.1 dev eth1 table 10
ip route add default via 10.10.2.1 dev eth2 table 20
ログイン後にコピー
カスタム チェーン
デフォルト チェーンにルールが多すぎると、管理するのが不便になります。 INPUT チェーンに 200 個のルールが保存されていると想像してください。これら 200 個のルールのうち、一部は httpd サービス用、一部は sshd サービス用、一部はプライベート ネットワーク IP 用、一部はパブリック ネットワーク IP 用です。 httpd サービスに関連するルールですが、どのルールが httpd に固有のものかを見つけるために、これら 200 のルールを最初から読む必要がありますか?これは明らかに不合理です。 つまり、iptables ではチェーンをカスタマイズすることができ、チェーンをカスタマイズすることで上記の問題を解決できます。 IN_WEB という名前のチェーンをカスタマイズするとします。ポート 80 のすべての受信ルールをこのカスタム チェーンに書き込むことができます。将来、Web サービスの受信ルールを変更したい場合は、IN_WEB チェーン内のルールを直接変更するだけです。デフォルト チェーンにさらにルールがある場合でも、ポート 80 のすべての受信ルールが IN_WEB チェーンに保存されていることがわかっているため、心配する必要はありません。创建自定义链
#在filter表中创建IN_WEB自定义链
iptables -t filter -N IN_WEB
ログイン後にコピー
引用自定义链
#在INPUT链中引用刚才创建的自定义链
iptables -t filter -I INPUT -p tcp --dport 80 -j IN_WEB
ログイン後にコピー
重命名自定义链
#将IN_WEB自定义链重命名为WEB
iptables -E IN_WEB WEB
ログイン後にコピー
删除自定义链
#第一步：清除自定义链中的规则
iptables -t filter -F WEB
#第二步：删除自定义链
iptables -t filter -X WEB
ログイン後にコピー
LOG 动作
LOG 动作默认会将报文的相关信息记录在/var/log/message文件中，当然，我们也可以将相关信息记录在指定的文件中，以防止 iptables 的相关信息与其他日志信息相混淆，修改 /etc/rsyslog.conf 文件（或者 /etc/syslog.conf），在 rsyslog 配置文件中添加如下配置即可：kern.warning /var/log/iptables.log
ログイン後にコピー
service rsyslog restart
ログイン後にコピー
- –log-level 选项可以指定记录日志的日志级别，可用级别有 emerg，alert，crit，error，warning，notice，info，debug。
- –log-prefix 选项可以给记录到的相关信息添加”标签”之类的信息，以便区分各种记录到的报文信息，方便在分析时进行过滤。–log-prefix 对应的值不能超过 29 个字符。
比如，我想要将主动连接22号端口的报文的相关信息都记录到日志中，并且把这类记录命名为”want-in-from-port-22″,则可以使用如下命令：iptables -I INPUT -p tcp --dport 22 -m state --state NEW -j LOG --log-prefix "want-in-from-port-22"
ログイン後にコピー
参考リンク
- https://www.zsythink.net/archives/category/運用保守関連/ iptables/
- ##https://my.oschina.net/mojiewhy/blog/3039897
- https://www.frozentux.net/iptables-tutorial/cn/iptables-tutorial-cn-1.1.19.html#MARKTARGET
- https://mp.weixin.qq.com/s/NOxY4ZC7Cay4LCWlMkVx8A
##
以上がLinux ファイアウォール ソフトウェア IPtables の使い方がわからない!どのような運用保守担当者ですか?の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。
![[Web フロントエンド] Node.js クイック スタート](https://img.php.cn/upload/course/000/000/067/662b5d34ba7c0227.png)
