Расширение MULTIPORT

Критерий LIMIT

MAC критерий

MAC критерий используется для проверки исходного MAC-адреса пакета (таблица 3.11). Модуль -m mac, на сегодняшний день, предоставляет единственный критерий. Модуль расширения должен подгружаться явно ключом -m mac.

Таблица 3.11. MAC критерии

Критерий	Пример	Описание
--mac-source	iptables -A INPUT-m mac --mac-source 00:00:00:00:00:01	MAC адрес сетевого узла, передавшего пакет. MAC адрес должен указываться в форме XX:XX:XX:XX:XX:XX. Как и ранее, символ! используется для инверсии критерия, например --mac-source! 00:00:00:00:00:01, что означает – пакет с любого узла, кроме узла, который имеет MAC адрес 00:00:00:00:00:01. Этот критерий имеет смысл только в цепочках PREROUTING, FORWARD и INPUT и нигде более.

Должен подгружаться явно ключом -m limit (таблица 3.12). Прекрасно подходит для правил, производящих запись в системный журнал (logging) и т.п. Добавляя этот критерий, можно ограничить предельное число пакетов в единицу времени, которое способно пропустить правило. Можно использовать символ! для инверсии, например -m! limit. В этом случае подразумевается, что пакеты будут проходить правило только после превышения ограничения.

Таблица 3.12. Критерий limit

Критерий	Пример	Описание
--limit	iptables -A INPUT -m limit --limit 3/hour	Устанавливается максимальное количество пакетов за единицу времени, к которому данное правило будет применено при совпадении всех прочих условий. В качестве аргумента указывается число пакетов и время. Допустимыми считаются следующие единицы измерения времени: /second /minute /hour /day. По-умолчанию, принято значение 3 пакета в час, или 3/hour. Использование флага инверсии условия [!] в данном критерии недопустим.
--limit-burst	iptables -A INPUT -m limit --limit-burst 5	Устанавливает максимальное значение числа burst limit для критерия limit. Это число увеличивается на единицу, если получен пакет, подпадающий под действие данного правила, и при этом средняя скорость (задаваемая ключом --limit) поступления пакетов уже достигнута. Так происходит до тех пор, пока число burst limit не достигнет максимального значения, устанавливаемого ключом --limit-burst. После этого правило начинает пропускать пакеты со скоростью, задаваемой ключом --limit. Значение по-умолчанию принимается равным 5.

Расширение MULTIPORT позволяет в тексте правила указывать несколько портов и диапазонов портов (таблица 3.13).

Недопустимо использовать стандартную проверку портов и расширение -m multiport (например, --sport 1024:63353 -m multiport –dport 21,23,80) одновременно. Подобные правила будут просто отвергаться iptables.

Таблица 3.13. Расширение Multiport

Критерий	Пример	Описание
--source-port	iptables -A INPUT -p tcp -m multiport --source-port 22,53,80,110	Служит для указания списка исходящих портов. С помощью данного критерия можно указать до 15 различных портов. Названия портов в списке должны отделяться друг от друга запятыми, пробелы в списке не допустимы. Данное расширение может использоваться только совместно с критериями -p tcp или -p udp. Главным образом, используется как расширенная версия обычного критерия --source-port.
--destination-port	iptables -A INPUT -p tcp -m multiport --destination-port 22,53,80,110	Служит для указания списка входных портов. Формат задания аргументов полностью аналогичен -m multiport --source-port
--port	iptables -A INPUT -p tcp -m multiport --port 22,53,80,110	Данный критерий проверяет как исходящий, так и входящий порт пакета. Формат аргументов аналогичен критерию --source-port и --destination-port. Обратите внимание на то, что данный критерий проверяет порты обеих направлений, то есть, если вы пишете -multiport --port 80, то под данный критерий подпадают пакеты, идущие с порта 80 на порт 80.

Дата добавления: 2014-01-15