版權(quán)說(shuō)明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)
文檔簡(jiǎn)介
Limit匹配Iptables之filter表基本實(shí)驗(yàn)121顯式匹配2limit匹配3狀態(tài)匹配4實(shí)驗(yàn)?zāi)夸涳@式匹配顯式匹配:必須用-m或--match裝載,比如要使用狀態(tài)匹配就必須使用-mstateLimitmatchiptables-AINPUT-mlimit--limit3/hour
iptables-AINPUT-mlimit--limit-burst5
3iptables[-ttable]command[match][target/jump]顯式匹配Limit匹配必須由-mlimit明確指定才能使用用于對(duì)指定的規(guī)則的日志數(shù)量加以限制:符合條件的數(shù)據(jù)包數(shù)量不超過(guò)限定值時(shí),記錄日志,否則就不記錄用于控制某條規(guī)則在一段時(shí)間內(nèi)的匹配數(shù)量,以避免DoS攻擊用于限制某些次要服務(wù)的連接數(shù)量,以免影響其他服務(wù)4參數(shù)詳解匹配:--limit示例:iptables-AINPUT-mlimit--limit3/hour說(shuō)明:為limitmatch設(shè)置最大平均匹配速率,也就是單位時(shí)間內(nèi)limitmatch可以匹配幾個(gè)包。它的形式是一個(gè)數(shù)值加一個(gè)時(shí)間單位,可以是/second/minute/hour/day。默認(rèn)值是每小時(shí)3次,即3/hour,也就是每20分鐘一次。5參數(shù)詳解匹配:--limit-burst示例:iptables-AINPUT-mlimit--limit-burst5說(shuō)明:這里定義的是limitmatch的峰值,就是在單位時(shí)間(這個(gè)時(shí)間由上面的--limit指定)內(nèi)最多可匹配幾個(gè)包(由此可見(jiàn),--limit-burst的值要比--limit的大)。默認(rèn)值是5。6狀態(tài)匹配Statematchiptables-AINPUT-mstate--stateRELATED,ESTABLISHED狀態(tài)匹配擴(kuò)展要有內(nèi)核里的連接跟蹤代碼的協(xié)助,因?yàn)樗菑倪B接跟蹤機(jī)制中得到包的狀態(tài)的。這樣我們就可以了解連接所處的狀態(tài)。它幾乎適用于所有的協(xié)議,包括那些無(wú)狀態(tài)的協(xié)議,如ICMP和UDP。針對(duì)每個(gè)連接都有一個(gè)缺省的超時(shí)值,如果連接的時(shí)間超過(guò)了這個(gè)值,那么這個(gè)連接的記錄就被會(huì)從連接跟蹤的記錄數(shù)據(jù)庫(kù)中刪除,也就是說(shuō)連接就不再存在了。這個(gè)match必須有-mstate作為前提才能使用。7參數(shù)詳解匹配:--state說(shuō)明:指定要匹配包的的狀態(tài),當(dāng)前有4種狀態(tài)可用:INVALID,ESTABLISHED,NEW和RELATED。INVALID意味著這個(gè)包沒(méi)有已知的流或連接與之關(guān)聯(lián),也可能是它包含的數(shù)據(jù)或包頭有問(wèn)題。ESTABLISHED意思是包是完全有效的,而且屬于一個(gè)已建立的連接,這個(gè)連接的兩端都已經(jīng)有數(shù)據(jù)發(fā)送。NEW表示包將要或已經(jīng)開始建立一個(gè)新的連接,或者是這個(gè)包和一個(gè)還沒(méi)有在兩端都有數(shù)據(jù)發(fā)送的連接有關(guān)。RELATED說(shuō)明包正在建立一個(gè)新的連接,這個(gè)連接是和一個(gè)已建立的連接相關(guān)的。比如,F(xiàn)TPdatatransfer,ICMPerror
和一個(gè)TCP或UDP連接相關(guān)。注意NEW狀態(tài)并不在試圖建立新連接的TCP包里尋找SYN標(biāo)記,因此它不應(yīng)該不加修改地用在只有一個(gè)防火墻或在不同的防火墻之間沒(méi)有啟用負(fù)載平衡的地方。8參數(shù)詳解9PCIptablesFirewallServerSYNSYN/ACK
ACKNEWESTABLISHEDUDPPacketUDPPacket……NEWESTABLISHED參數(shù)詳解10PCIptablesFirewallServerICMPEchoRequestNEWESTABLISHEDClientProcessingICMPEchoReplySYNICMPNetUnreachable
ClientabortsNEWRELATED11SYNSYN/ACKACKRELATEDESTABLISHEDPCIptablesFirewallServerSYNRELATEDESTABLISHEDACKSYN/ACK理解conntrack記錄RHEL6中conntrack記錄文件為/proc/net/nf_conntrack協(xié)議——tcp十進(jìn)制數(shù)字6——tcp的協(xié)議類型代碼是117——這條conntrack記錄的生存時(shí)間,它會(huì)有規(guī)律地被消耗,直到收到這個(gè)連接的更多的包。那時(shí),這個(gè)值就會(huì)被設(shè)為當(dāng)時(shí)那個(gè)狀態(tài)的缺省值syn——這個(gè)連接在當(dāng)前時(shí)間點(diǎn)的狀態(tài)syn_sent——這個(gè)連接只在一個(gè)方向發(fā)送了一tcpsyn包src、dst、sport、dport——源地址、目的地址、源端口和目的端口unreplied——這個(gè)連接還沒(méi)有收到任何回應(yīng)后面是希望接收的應(yīng)答包的信息,他們的地址和端口和前面是相反的12tcp6117syn_sentsrc=dst=sport=32775dport=22[unreplied]src=dst=sport=22dport=32775use=2理解conntrack記錄RHEL6中conntrack設(shè)定值:/proc/sys/net/netfilter/nf_conntrack_max設(shè)定值默認(rèn)值48044可以適當(dāng)改大以避免nf_conntrack達(dá)到最大值,也由此造成nf_conntrack:tablefull,droppingpacket.
的錯(cuò)誤提示,并發(fā)生網(wǎng)關(guān)丟棄數(shù)據(jù)包,網(wǎng)絡(luò)中斷的現(xiàn)象/proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established設(shè)定值值默認(rèn)432000s即5天可減小超時(shí)的時(shí)限
13理解conntrack記錄查看nf_conntrackbuffer使用狀況14#grepconn/proc/slabinfo結(jié)果實(shí)例:nf_conntrack
5918
8140
384
10
1:tunables
54
27
0:slabdata
814
814
0各值說(shuō)明如下:
nf_conntrackthecachename
5918thenumberofcurrentlyactiveobjects
8140thetotalnumberofavailableobjects
384thesizeofeachobjectinbytes
814thenumberofpageswithatleastoneactiveobject
溫馨提示
- 1. 本站所有資源如無(wú)特殊說(shuō)明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
- 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
- 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁(yè)內(nèi)容里面會(huì)有圖紙預(yù)覽,若沒(méi)有圖紙預(yù)覽就沒(méi)有圖紙。
- 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
- 5. 人人文庫(kù)網(wǎng)僅提供信息存儲(chǔ)空間,僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
- 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請(qǐng)與我們聯(lián)系,我們立即糾正。
- 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。
最新文檔
- 大學(xué)暑假實(shí)習(xí)報(bào)告范文集合四篇
- 春季開學(xué)典禮校長(zhǎng)演講稿集合5篇
- 大學(xué)畢業(yè)生自我鑒定(8篇)
- 幼兒教師辭職申請(qǐng)書集錦9篇
- 地理教師教學(xué)工作計(jì)劃范文
- 順馳太陽(yáng)城二期可行性研究報(bào)告
- 休閑食品的品牌戰(zhàn)略比較
- 七年級(jí)語(yǔ)文下冊(cè)教學(xué)工作總結(jié)
- 借款約束協(xié)議書(2篇)
- 2025年果蔬自動(dòng)清選、分級(jí)設(shè)備合作協(xié)議書
- 大學(xué)生防詐騙課件
- 2024屆四川省眉山市仁壽縣中考聯(lián)考數(shù)學(xué)試卷含解析
- 激光技術(shù)員年終總結(jié)
- 危險(xiǎn)化學(xué)品經(jīng)營(yíng)許可證核發(fā)程序省公開課一等獎(jiǎng)全國(guó)示范課微課金獎(jiǎng)?wù)n件
- 1北京師范大學(xué)馬克思主義哲學(xué)期末測(cè)試卷
- 智能建造理論與實(shí)踐 課件全套 第1-6章 智能建造概述- 智慧城市
- 修井作業(yè)安全培訓(xùn)課件
- 內(nèi)控合規(guī)風(fēng)險(xiǎn)管理手冊(cè)
- 教師工作職責(zé)培訓(xùn)課件建立良好的教師與學(xué)生關(guān)系
- 品管部年度工作總結(jié)
- 胃腸外科病人圍手術(shù)期營(yíng)養(yǎng)管理專家共識(shí)護(hù)理課件
評(píng)論
0/150
提交評(píng)論