【iptables交流贴】iptables执行的流程分析

Godbach

原帖由 jaycu 于 2008-8-11 15:07 发表



o .原来如此。。。C功底太差了。。。

偶也是通过分析iptables命令行代码，熟悉了getopt_long的使用方式啊。
不过很多网络设备好像不用这种命令行解析的方法。
不知道兄弟在命令行下配置过Router，
好像直接使用的下面的这种方式：
interface add/set/del ip 等等。

这样解析起来就比较容易。

Godbach

原帖由 arbor 于 2008-8-12 21:03 发表
我有个iptables的问题，请教一下

关于fail2ban里面的iptables防范DDOS失败问题请教

http://bbs.chinaunix.net/thread-1240883-1-1.html

我认为这个问题还是在我的原帖回复比较好，便于其他遇到类似问题 ...

已经回复了。。

Godbach

在使用iptables比较容易出错的情况是：
比如：
iptables -A INPUT --dport 21 -j ACCPET

一定要记住-p对应的有三种默认扩展，TCP，UDP，ICMP，而这三个的扩展参数是不一样的。所以在使用的时候，如果使用的是扩展匹配的参数，一定要包含-p proto，即：
iptables -A INPUT -p tcp --dport 21 -j ACCPET

偶的同事出现过这样的问题，127楼出现的问题也是这样的。

Godbach

iptables是顺序匹配的，如果匹配到第一条规则，那就执行对应的target，可能就不会往下匹配其他规则了

Godbach

原帖由 bekars 于 2009-3-20 13:13 发表
很不错的分析，要知道一个功能的原理就要从源码下手，没有其他捷径

恩。这是比较有效的方法，不过前提也得是你了解具体的使用方法。

Godbach

应该是所有的规则

Godbach

呵呵，这得看时间吧。如果你把iptables 搞清楚了，可以写一个更系统的总结啊

Godbach

iptables 是命令行的工具，用来下发规则，netfilter 是内核态的对应实现。

Godbach

goter 发表于 2012-03-05 21:41
iptables 的 goto实现起来才叫个蛋疼呢
看的我脱了一层皮

建议 goter 兄分享一下 :wink:

Godbach

回复 159# shaohui973
去 netfilter.org 上看看