Действие TOS

Действие REJECT

Действие MARK

Устанавливает метки для определенных пакетов (таблица 3.20). Это действие может выполняться только в пределах таблицы MANGLE. Установка меток обычно используется для нужд маршрутизации пакетов по различным маршрутам, для ограничения трафика и т.п. Следует помнить, что «метка» пакета существует только в период времени, пока пакет не покинул МСЭ, то есть метка не передаётся по сети. Если необходимо как-то пометить пакеты, чтобы использовать маркировку на другой машине, то можете попробовать манипулировать битами поля TOS.

Таблица 3.20. Ключи для действия MARK

Ключ	Пример	Описание
--set-mark	iptables -t mangle -A PREROUTING -p tcp --dport 22 -j MARK --set-mark 2	Ключ --set-mark устанавливает метку на пакет. После ключа --set-mark должно следовать целое беззнаковое число.

REJECT используется, как правило, в тех же самых ситуациях, что и DROP, но в отличие от DROP, команда REJECT выдает сообщение об ошибке на машину, передавший пакет. Действие REJECT работает только в цепочках INPUT, FORWARD и OUTPUT (и во вложенных в них цепочках). Существует только единственный ключ, управляющий поведением команды REJECT (таблица 3.21).

Таблица 3.21. Действие REJECT

Ключ	Пример	Описание
--reject-with	iptables -A FORWARD -p TCP --dport 22 -j REJECT --reject-with tcp-reset	Указывает, какое сообщение необходимо передать в ответ, если пакет совпал с заданным критерием. При применении действия REJECT к пакету, сначала на машину-отправитель будет отослан указанный ответ, а затем пакет будет «сброшен». Допускается использовать следующие типы ответов: icmp-net-unreachable, icmp-host-unreachable, icmp-port-unreachable, icmp-proto-unreachable, icmp-net-prohibited и icmp-host-prohibited. По-умолчанию передается сообщение port-unreachable. Все вышеуказанные типы ответов являются ICMP error messages. В заключение укажем ещё один тип ответа – tcp-reset, который используется только для протокола TCP. Если указано значение tcp-reset, то действие REJECT передаст в ответ пакет TCP RST, пакеты TCP RST используются для закрытия TCP соединений.

Команда TOS используется для установки битов в поле Type of Service IP заголовка. Поле TOS содержит 8 бит, которые используются для маршрутизации пакетов. Так же важно помнить, что данное поле может обрабатываться различными маршрутизаторами с целью выбора маршрута движения пакета. Э поле, в отличие от MARK, сохраняет свое значение при движении по сети. Команда TOS имеет только один ключ, который описан ниже (таблица 3.22).

Таблица 3.22. Действие TOS

Ключ	Пример	Описание
--set-tos	iptables -t mangle -A PREROUTING -p TCP --dport 22 -j TOS --set-tos 0x10	Ключ --set-tos определяет числовое значение в десятичном или шестнадцатиричном виде. Поскольку поле TOS является 8-битным, то можно указать число в диапазоне от 0 до 255 (0x00 – 0xFF). Однако большинство значений этого поля никак не используются. Вполне возможно, что в будущих реализациях TCP/IP числовые значения могут быть изменены, поэтому, во избежание ошибок, лучше использовать мнемонические обозначения: Minimize-Delay (16 или 0x10), Maximize-Throughput (8 или 0x08), Maximize-Reliability (4 или 0x04), Minimize-Cost (2 или 0x02) или Normal-Service (0 или 0x00). По-умолчанию большинство пакетов имеют признак Normal-Service, или 0. Список мнемоник можно получить, выполнив команду iptables -j TOS -h.

Дата добавления: 2014-01-15