netfilter HOOK函数执行问题

li_freedom

在同一个hook点上注册不同的两个表时，比如在LOCAL_IN这个点上注册filter和nat两个表，分别往这两个表里面添加规则。
当有数据经过LOCAL_IN时激活这个点上的hook函数，然后去匹配表的规则，

问题：因为是在同一个点注册了两个表，在hook函数被激活后去匹配规则的时候是两个表的规则都去匹配的吗？


是这样吗？ --》先从优先级高的表开始匹配，然后是次高的表开始匹配？

Godbach

回复 1# li_freedom
是的，按照 table 的优先级从高到低匹配。
只有高优先级的table 的 rule 没有 DROP 报文的话，低优先级 table 才有可能看到该报文。


   

li_freedom

回复 2# Godbach



Godbach你好：

  请问下规则的匹配是在match里面进行的吗？   比如，tcp的数据全部丢弃，是在match里面判断是tcp包给丢弃的吗？


另外还有个疑问：
      match是需要自己写的吗？   

     iptables设置不同的规则match的内容是不同的吗？
    使用iptables设置规则的时候是iptables已经设置好match是什么内容了吗？
   

这点不太明白，万望指点，谢谢。

Godbach

回复 3# li_freedom

Godbach你好：

  请问下规则的匹配是在match里面进行的吗？   比如，tcp的数据全部丢弃，是在match里面判断是tcp包给丢弃的吗？

一条规则有个多个 match + 一个 target 组成。 match 就是用来匹配报文的，target 就是用来对已经 match 的报文执行动作，比如 ACCEPT，DROP 等等。

另外还有个疑问：
      match是需要自己写的吗？   

     iptables设置不同的规则match的内容是不同的吗？
    使用iptables设置规则的时候是iptables已经设置好match是什么内容了吗？
   

这点不太明白，万望指点，谢谢。

iptables 提供了大量的 match，具体可以看 manual。除非当前所有的 match 都无法满足你的需求，才需要自己开发。

iptables 怎么用 match，关键在于你这条规则想干什么。

建议你详细看一遍 iptables 的手册吧。
   

yandongxiao

回复 1# li_freedom

你可以看看这位仁兄的系列博客，http://blog.chinaunix.net/uid/23069658.html。他写了一系列的文章，应该能帮助你解决你的问题。