Расширение OWNER

Расширение MARK

Расширение MARK предоставляет возможность «пометить» пакеты специальным образом. MARK – специальное поле, которое существует только в области памяти ядра ОС МСВС и связано с конкретным пакетом. Может использоваться в самых разнообразных целях, например, ограничение трафика и фильтрация. На сегодняшний день существует единственная возможность установки метки на пакет в ОС МСВС – это использование действия MARK (таблица 3.14). Поле MARK представляет собой беззнаковое целое число в диапазоне от 0 до 4294967296 для 32-битных систем.

Таблица 3.14. Расширение mark

Критерий	Пример	Описание
--mark	iptables -t mangle -A INPUT -m mark --mark 1	Критерий производит проверку пакетов, которые были предварительно «помечены». Метки устанавливаются действием MARK, которое мы будем рассматривать ниже. Все пакеты, проходящие через netfilter, имеют специальное поле mark. Следует помнить, что нет никакой возможности передать состояние этого поля вместе с пакетом в сеть. Поле mark является целым беззнаковым, таким образом, можно создать не более 65535 различных меток. Допускается использовать маску с метками. В данном случае критерий будет выглядеть следующим образом: --mark 1/1. Если указывается маска, то выполняется логическое AND метки и маски.

Расширение OWNER предназначено для проверки «владельца» пакета (таблица 3.15). Изначально данное расширение было написано, как пример демонстрации возможностей iptables. Допускается использовать этот критерий только в цепочке OUTPUT. Такое ограничение наложено потому, что на сегодняшний день нет реального механизма передачи информации о «владельце» по сети. Справедливости ради следует отметить, что для некоторых пакетов невозможно определить «владельца» в этой цепочке. К пакетам такого рода относятся различные ICMP ответы. Поэтому не следует употреблять этот критерий к ICMP responses пакетам.

Таблица 3.15. Расширение owner

Критерий	Пример	Описание
--uid-owner	iptables -A OUTPUT -m owner --uid-owner 500	Производится проверка «владельца» по User ID (UID). Подобного рода проверка может использоваться, к примеру, для блокировки выхода в Интернет отдельных пользователей.
--gid-owner	iptables -A OUTPUT -m owner --gid-owner 0	Производится проверка «владельца» пакета по Group ID (GID).
--pid-owner	iptables -A OUTPUT -m owner --pid-owner 78	Производится проверка «владельца» пакета по Process ID (PID).
--sid-owner	iptables -A OUTPUT -m owner --sid-owner 100	Производится проверка Session ID пакета. Значение SID наследуются дочерними процессами от «родителя», так, например, все процессы HTTPD имеют один и тот же SID (примером таких процессов могут служить HTTPD Apache и Roxen).

Дата добавления: 2014-01-15