【iptables交流贴】iptables执行的流程分析

Godbach

原帖由 sunorr 于 2008-8-11 09:21 发表


解析命令行参数用的吧。

man 3 getopt

是的，如果命令是 iptables -A INPUT,
optarg指的就是 -A 对应的参数INPUT

Godbach

原帖由 sunorr 于 2008-8-11 09:24 发表
find_match中的那个iptables_matches，是哪给附上的？

match列表是在iptables命令执行的是会进行初始化的，所有match模块都会执行init动作，并register该match模块

jaycu

原帖由 sunorr 于 2008-8-11 09:21 发表


解析命令行参数用的吧。

man 3 getopt

o .原来如此。。。C功底太差了。。。

jaycu

原帖由 Godbach 于 2008-8-10 21:42 发表


LS的看的细啊。偶感觉到把握住核心的流程，就是do_command(),完成之后就是iptc_commit()。
这个里面并没看出对state的特殊处理。

后来flw版主提示了一下，说其实还是在于添加规则时使用iptables -A 还是 ...

收到！！多谢：）

Godbach

原帖由 jaycu 于 2008-8-11 15:10 发表

收到！！多谢：）

今天测试了一下，确实如此，如果你想状态监测优先于规则的话，就要保证状态监测的在规则前面。

Godbach

原帖由 jaycu 于 2008-8-11 15:07 发表



o .原来如此。。。C功底太差了。。。

偶也是通过分析iptables命令行代码，熟悉了getopt_long的使用方式啊。
不过很多网络设备好像不用这种命令行解析的方法。
不知道兄弟在命令行下配置过Router，
好像直接使用的下面的这种方式：
interface add/set/del ip 等等。

这样解析起来就比较容易。

arbor

我有个iptables的问题，请教一下

关于fail2ban里面的iptables防范DDOS失败问题请教

http://bbs.chinaunix.net/thread-1240883-1-1.html

我认为这个问题还是在我的原帖回复比较好，便于其他遇到类似问题的朋友查找。

谢谢！

Godbach

原帖由 arbor 于 2008-8-12 21:03 发表
我有个iptables的问题，请教一下

关于fail2ban里面的iptables防范DDOS失败问题请教

http://bbs.chinaunix.net/thread-1240883-1-1.html

我认为这个问题还是在我的原帖回复比较好，便于其他遇到类似问题 ...

已经回复了。。

Godbach

在使用iptables比较容易出错的情况是：
比如：
iptables -A INPUT --dport 21 -j ACCPET

一定要记住-p对应的有三种默认扩展，TCP，UDP，ICMP，而这三个的扩展参数是不一样的。所以在使用的时候，如果使用的是扩展匹配的参数，一定要包含-p proto，即：
iptables -A INPUT -p tcp --dport 21 -j ACCPET

偶的同事出现过这样的问题，127楼出现的问题也是这样的。

sunseeder

iptables似乎没有提供提供对规则进行冲突检测的功能，-A把一条规则加入某个表某个链的最后，-I把一条规则加入某个表某个链的最开始，即使两条规则是矛盾的防火墙也不会有任何提示，是不是这样？