校盾計(jì)劃課程防火墻技術(shù)4.31limit匹配_第1頁(yè)
校盾計(jì)劃課程防火墻技術(shù)4.31limit匹配_第2頁(yè)
校盾計(jì)劃課程防火墻技術(shù)4.31limit匹配_第3頁(yè)
校盾計(jì)劃課程防火墻技術(shù)4.31limit匹配_第4頁(yè)
校盾計(jì)劃課程防火墻技術(shù)4.31limit匹配_第5頁(yè)
已閱讀5頁(yè),還剩11頁(yè)未讀, 繼續(xù)免費(fèi)閱讀

下載本文檔

版權(quán)說(shuō)明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)

文檔簡(jiǎn)介

Limit匹配Iptables之filter表基本實(shí)驗(yàn)121顯式匹配2limit匹配3狀態(tài)匹配4實(shí)驗(yàn)?zāi)夸涳@式匹配顯式匹配:必須用-m或--match裝載,比如要使用狀態(tài)匹配就必須使用-mstateLimitmatchiptables-AINPUT-mlimit--limit3/hour

iptables-AINPUT-mlimit--limit-burst5

3iptables[-ttable]command[match][target/jump]顯式匹配Limit匹配必須由-mlimit明確指定才能使用用于對(duì)指定的規(guī)則的日志數(shù)量加以限制:符合條件的數(shù)據(jù)包數(shù)量不超過(guò)限定值時(shí),記錄日志,否則就不記錄用于控制某條規(guī)則在一段時(shí)間內(nèi)的匹配數(shù)量,以避免DoS攻擊用于限制某些次要服務(wù)的連接數(shù)量,以免影響其他服務(wù)4參數(shù)詳解匹配:--limit示例:iptables-AINPUT-mlimit--limit3/hour說(shuō)明:為limitmatch設(shè)置最大平均匹配速率,也就是單位時(shí)間內(nèi)limitmatch可以匹配幾個(gè)包。它的形式是一個(gè)數(shù)值加一個(gè)時(shí)間單位,可以是/second/minute/hour/day。默認(rèn)值是每小時(shí)3次,即3/hour,也就是每20分鐘一次。5參數(shù)詳解匹配:--limit-burst示例:iptables-AINPUT-mlimit--limit-burst5說(shuō)明:這里定義的是limitmatch的峰值,就是在單位時(shí)間(這個(gè)時(shí)間由上面的--limit指定)內(nèi)最多可匹配幾個(gè)包(由此可見(jiàn),--limit-burst的值要比--limit的大)。默認(rèn)值是5。6狀態(tài)匹配Statematchiptables-AINPUT-mstate--stateRELATED,ESTABLISHED狀態(tài)匹配擴(kuò)展要有內(nèi)核里的連接跟蹤代碼的協(xié)助,因?yàn)樗菑倪B接跟蹤機(jī)制中得到包的狀態(tài)的。這樣我們就可以了解連接所處的狀態(tài)。它幾乎適用于所有的協(xié)議,包括那些無(wú)狀態(tài)的協(xié)議,如ICMP和UDP。針對(duì)每個(gè)連接都有一個(gè)缺省的超時(shí)值,如果連接的時(shí)間超過(guò)了這個(gè)值,那么這個(gè)連接的記錄就被會(huì)從連接跟蹤的記錄數(shù)據(jù)庫(kù)中刪除,也就是說(shuō)連接就不再存在了。這個(gè)match必須有-mstate作為前提才能使用。7參數(shù)詳解匹配:--state說(shuō)明:指定要匹配包的的狀態(tài),當(dāng)前有4種狀態(tài)可用:INVALID,ESTABLISHED,NEW和RELATED。INVALID意味著這個(gè)包沒(méi)有已知的流或連接與之關(guān)聯(lián),也可能是它包含的數(shù)據(jù)或包頭有問(wèn)題。ESTABLISHED意思是包是完全有效的,而且屬于一個(gè)已建立的連接,這個(gè)連接的兩端都已經(jīng)有數(shù)據(jù)發(fā)送。NEW表示包將要或已經(jīng)開始建立一個(gè)新的連接,或者是這個(gè)包和一個(gè)還沒(méi)有在兩端都有數(shù)據(jù)發(fā)送的連接有關(guān)。RELATED說(shuō)明包正在建立一個(gè)新的連接,這個(gè)連接是和一個(gè)已建立的連接相關(guān)的。比如,F(xiàn)TPdatatransfer,ICMPerror

和一個(gè)TCP或UDP連接相關(guān)。注意NEW狀態(tài)并不在試圖建立新連接的TCP包里尋找SYN標(biāo)記,因此它不應(yīng)該不加修改地用在只有一個(gè)防火墻或在不同的防火墻之間沒(méi)有啟用負(fù)載平衡的地方。8參數(shù)詳解9PCIptablesFirewallServerSYNSYN/ACK

ACKNEWESTABLISHEDUDPPacketUDPPacket……NEWESTABLISHED參數(shù)詳解10PCIptablesFirewallServerICMPEchoRequestNEWESTABLISHEDClientProcessingICMPEchoReplySYNICMPNetUnreachable

ClientabortsNEWRELATED11SYNSYN/ACKACKRELATEDESTABLISHEDPCIptablesFirewallServerSYNRELATEDESTABLISHEDACKSYN/ACK理解conntrack記錄RHEL6中conntrack記錄文件為/proc/net/nf_conntrack協(xié)議——tcp十進(jìn)制數(shù)字6——tcp的協(xié)議類型代碼是117——這條conntrack記錄的生存時(shí)間,它會(huì)有規(guī)律地被消耗,直到收到這個(gè)連接的更多的包。那時(shí),這個(gè)值就會(huì)被設(shè)為當(dāng)時(shí)那個(gè)狀態(tài)的缺省值syn——這個(gè)連接在當(dāng)前時(shí)間點(diǎn)的狀態(tài)syn_sent——這個(gè)連接只在一個(gè)方向發(fā)送了一tcpsyn包src、dst、sport、dport——源地址、目的地址、源端口和目的端口unreplied——這個(gè)連接還沒(méi)有收到任何回應(yīng)后面是希望接收的應(yīng)答包的信息,他們的地址和端口和前面是相反的12tcp6117syn_sentsrc=dst=sport=32775dport=22[unreplied]src=dst=sport=22dport=32775use=2理解conntrack記錄RHEL6中conntrack設(shè)定值:/proc/sys/net/netfilter/nf_conntrack_max設(shè)定值默認(rèn)值48044可以適當(dāng)改大以避免nf_conntrack達(dá)到最大值,也由此造成nf_conntrack:tablefull,droppingpacket.

的錯(cuò)誤提示,并發(fā)生網(wǎng)關(guān)丟棄數(shù)據(jù)包,網(wǎng)絡(luò)中斷的現(xiàn)象/proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established設(shè)定值值默認(rèn)432000s即5天可減小超時(shí)的時(shí)限

13理解conntrack記錄查看nf_conntrackbuffer使用狀況14#grepconn/proc/slabinfo結(jié)果實(shí)例:nf_conntrack

5918

8140

384

10

1:tunables

54

27

0:slabdata

814

814

0各值說(shuō)明如下:

nf_conntrackthecachename

5918thenumberofcurrentlyactiveobjects

8140thetotalnumberofavailableobjects

384thesizeofeachobjectinbytes

814thenumberofpageswithatleastoneactiveobject

溫馨提示

  • 1. 本站所有資源如無(wú)特殊說(shuō)明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁(yè)內(nèi)容里面會(huì)有圖紙預(yù)覽,若沒(méi)有圖紙預(yù)覽就沒(méi)有圖紙。
  • 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
  • 5. 人人文庫(kù)網(wǎng)僅提供信息存儲(chǔ)空間,僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
  • 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請(qǐng)與我們聯(lián)系,我們立即糾正。
  • 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。

評(píng)論

0/150

提交評(píng)論