l7过滤与重定向问题 !

mackon_jong

在mangle表的PREROUTING中用L7匹配到QQ的数据打个标,但是当我把80端口重定后到本机后,QQ走80端口L7匹配不到,这里的兄弟有没有遇到此类问题?是怎么解决的 ?

ssffzz1

规则的顺序没有问题吗

mackon_jong

原帖由 ssffzz1 于 2007-4-16 07:23 发表于 2楼  
规则的顺序没有问题吗

规则顺序没错，我只要把NAT PREROUTING中的重定向规则删除，就没问题。

注意：mangle PREROUTING中，只对QQ的数据包打标，如果直接DROP，又没问题。

platinum

重定向是怎么实现的，具体语句是什么

mackon_jong

原帖由 platinum 于 2007-4-16 16:26 发表于 4楼  
重定向是怎么实现的，具体语句是什么

iptables -t nat -A PREROUTING -p tcp --dport -j REDIRECT --to-port 8080


应该是这个问题,我在代理程序中accept一个socket,就把读mark,而这个时候只是是TCP连接还没有应用层的数据包,故L7还没匹配到QQ,所以在代理程序中读不到mangle中打的mark

platinum

那么你是如何 match 和 MARK 的呢？
NAT 表只对 NEW 状态的包做处理，其余后续包不单独匹配，有你说的原因存在，但未必是最后导致问题的原因，要看你其他东西