iptables中的状态机制的触发在理解上的一些问题。[经前辈指点，已得到完美解决]

kivis

回复  nagaregawa


    不错，绳子的比喻很恰当
nagaregawa 发表于 2011-01-17 18:58

    回复nageregawa by kivis

终于开始明白了，结合dreamice 前辈的指点，整个netfilter防火墙，绳子一共就5条，nat表的PREROUTING链，mangle表的PREROUTING链，原来就是nat表和mangle表作用于同一条PREROUTING链。那些讲linux防火墙的教材里面怎么都没有提到这些，只一句：每个表都有内置的规则链。这一句就很误导人，如果不是对那个小问题产生怀疑追踪到这儿，我想我永远都不会了解到iptables的真谛了。谢谢前辈！

dreamice

回复  dreamice


   

回复 dreamice by kivis

  前辈，根据你和nagaregawa两位前辈的指点，也就 ...
kivis 发表于 2011-01-17 22:15

    差不多就是这样的，当然，你还可以根据自己的需求自建chain，来实现你特定的需求。
更直接一点，在netfiler的这几个hook点上，自己实现写模块挂载上去也未尝不可。

kivis

差不多就是这样的，当然，你还可以根据自己的需求自建chain，来实现你特定的需求。
更直接一点， ...
dreamice 发表于 2011-01-17 22:44

    回复dreamice by kivis

前辈，我现在彻底明白了，自建链的话，就和一条路上开了个分岔路一样，这个分叉路最终还是要走到主链上的。dreamice前辈，我对C code了解不深，还写不出模块，看懂都很难，但是你说的写模块挂到hook上去意思我明白，我会继续学习的。前辈，这个困扰我快3天的问题现在完美解决了，谢谢你们！

dreamice

回复dreamice by kivis

前辈，我现在彻底明白了，自建链的话，就和一条路上开了个分岔路一样 ...
kivis 发表于 2011-01-17 22:56

    不用客气，论坛就是提供给大家互相交流学习的，呵呵。有本书好像叫《Linux防火墙》的，上面讲了很多iptables/netfilter的原理和例子，可以看看。

kivis

不用客气，论坛就是提供给大家互相交流学习的，呵呵。有本书好像叫《Linux防火墙》的，上面讲了很 ...
dreamice 发表于 2011-01-18 08:43

    嗯！在这儿找到组织了！

r364687717

不错  好文章！