Iptables -A INPUT -p tcp -j tcp_packets

Iptables -N tcp_packets

Критерий TTL

Критерий TTL (Time To Live) является числовым полем в IP заголовке (таблица 3.18). При прохождении очередного маршрутизатора, это число уменьшается на 1. Если число становится равным нулю, то отправителю пакета будет передано ICMP сообщение типа 11 с кодом 0 (TTL equals 0 during transit) или с кодом 1 (TTL equals 0 during reassembly). Для использования этого критерия необходимо явно загружать модуль ключом -m ttl.

Таблица 3.18. Критерий TTL

Критерий	Пример	Описание
--ttl	iptables -A OUTPUT -m ttl --ttl 60	Производит проверку поля TTL на равенство заданному значению. Данный критерий может быть использован при наладке локальной сети, например, для случаев, когда какая-либо машина локальной сети не может подключиться к серверу в Интернете, или для поиска «троянов» и пр.

Действия и переходы

Действия и переходы сообщают правилу, что необходимо выполнить, если пакет соответствует заданному критерию. Чаще всего употребляются действия ACCEPT и DROP.

Понятие переходов

Описание переходов в правилах выглядит точно так же, как и описание действий, то есть, ставится ключ -j и указывается название цепочки правил, на которую выполняется переход. На переходы накладывается ряд ограничений:

1. Цепочка, на которую выполняется переход, должна находиться в той же таблице, что и цепочка, из которой этот переход выполняется;

2. Цепочка, являющаяся целью перехода, должна быть создана до того, как на неё будут выполняться переходы.

Например, создадим цепочку tcp_packets в таблице FILTER с помощью команды

Теперь можно выполнять переходы на эту цепочку:

То есть, встретив пакет протокола tcp, iptables произведёт переход на цепочку tcp_packets и продолжит движение пакета по этой цепочке. Если пакет достиг конца цепочки, то он будет возвращён в вызывающую цепочку (в рассмотренном случае это цепочка INPUT) и движение пакета продолжится с правила, следующего за правилом, вызвавшем переход.

Действие – это предопределенная команда, описывающая операцию, которую необходимо выполнить, если пакет совпал с заданным критерием. Например, можно применить действие DROP или ACCEPT к пакету, в зависимости от требований. Существует и ряд других действий, которые описываются ниже в этой секции. В результате выполнения одних действий, пакет прекращает своё прохождение по цепочке, например, DROP и ACCEPT, в результате других, после выполнения неких операций, продолжает проверку, например, LOG, в результате работы третьих даже видоизменяется, например DNAT и SNAT, TTL и TOS, но так же продолжает продвижение по цепочке.

Дата добавления: 2014-01-15