iptables match顺序问题

platinum

系统启动后 insmod m1 m2 m3
策略使用 m3 m2 m1 的顺序测试

发现既不是按照m1 m2 m3  也不是按照m3 m2 m1

是按照当你输入iptables -vnL查看时打印出来的顺序来匹配的。

那么这个 -vnL 的顺序又是怎么来的呢？值得研究一下
另外，我还没发现过设置策略时和显示时不一样的情况
-vnL 和 iptables-save 的顺序又是否一致呢？

zhoutao0712

不懂系统编程，弱弱的发表点意见：
是否和下面的这个有关

# cat /proc/net/ip_tables_matches
length
bcount
tcpseq
mport
tcpmss
connmark
udplimit
connlimit
state
recent
mac
mark
iprange
limit
tcp
udp
icmp

ok_lin

原帖由 platinum 于 2010-1-20 12:26 发表

那么这个 -vnL 的顺序又是怎么来的呢？值得研究一下
另外，我还没发现过设置策略时和显示时不一样的情况
-vnL 和 iptables-save 的顺序又是否一致呢？

linux> iptables -t mangle -A HOSTBW -m ttl --ttl-eq 300 -m tos --tos 16  -j ACCEPT
linux> iptables -t mangle -A HOSTBW -m tos --tos 16 -m ttl --ttl-eq 300  -j ACCEPT

以上两条规则-vnL显示一样的：
    0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           TOS match 0x10 TTL match TTL == 44
      0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           TOS match 0x10 TTL match TTL == 44

我用的是iptables-1.2.9

[ 本帖最后由 ok_lin 于 2010-1-20 14:25 编辑 ]

ok_lin

原帖由 zhoutao0712 于 2010-1-20 12:53 发表
不懂系统编程，弱弱的发表点意见：
是否和下面的这个有关

# cat /proc/net/ip_tables_matches
length
bcount
tcpseq
mport
tcpmss
connmark
udplimit
connlimit
state
recent
mac
mark
ipran ...

感谢这位兄弟，我试了一下，似乎不是按这里的顺序。

platinum

1. 
   
2. # iptables -A FORWARD -m ttl --ttl-eq 30 -m tos --tos 16
   
3. # iptables -A FORWARD -m tos --tos 16 -m ttl --ttl-eq 30
   
4. 
   
5. # iptables -vnL FORWARD
   
6. Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
   
7. pkts bytes target     prot opt in     out     source               destination
   
8.     0     0            all  --  *      *       0.0.0.0/0            0.0.0.0/0           TTL match TTL == 30 TOS match 0x10
   
9.     0     0            all  --  *      *       0.0.0.0/0            0.0.0.0/0           TOS match 0x10 TTL match TTL == 30
   
10. 
    
11. # iptables-save -ct filter
    
12. # Generated by iptables-save v1.4.0 on Wed Jan 20 14:30:25 2010
    
13. *filter
    
14. :INPUT ACCEPT [184:16578]
    
15. :FORWARD ACCEPT [0:0]
    
16. :OUTPUT ACCEPT [161:18688]
    
17. [0:0] -A FORWARD -m ttl --ttl-eq 30 -m tos --tos Minimize-Delay
    
18. [0:0] -A FORWARD -m tos --tos Minimize-Delay -m ttl --ttl-eq 30
    
19. COMMIT
    
20. # Completed on Wed Jan 20 14:30:25 2010
    
21. 
    
22. # iptables -V
    
23. iptables v1.4.0
    

复制代码

我的没有问题
但 TTL 最大只能 255，我设置 300 时报错，因此改成了 30
可能你的版本太低了

ok_lin

原帖由 platinum 于 2010-1-20 14:30 发表

# iptables -A FORWARD -m ttl --ttl-eq 30 -m tos --tos 16
# iptables -A FORWARD -m tos --tos 16 -m ttl --ttl-eq 30

# iptables -vnL FORWARD
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
...

应该是版本不一样，1.2.9的就是这样的，很郁闷，只有修改Makefile才可以改变位置。

感谢版主及各位的关注，谁要是研究透了请告诉我啊。谢谢！

platinum

为什么修改 Makefile 就可以改变位置？

ok_lin

原帖由 platinum 于 2010-1-20 14:51 发表
为什么修改 Makefile 就可以改变位置？

我原来提到过initext.c这个文件，它是iptables的extensions目录下文件不编译成.so时由Makefile生成的，
而文件中ipt_(模块名)_init() 的顺序是以后iptables规则中模块的匹配顺序，只要修改Makefile中变量PF_EXT_SLIB中的模块顺序就可以了。

PF_EXT_SLIB:=ah connlimit connmark ... ...  layer7 LAYER7

具体iptables以后怎么操作的我没去研究。

版主可以编个1.2.9的试试。

platinum

呵呵，我就不换成旧的了，还是你换成新的试试吧

david224

我现在的内核是2.4.18，iptables是1.3.0的，现在没有bcount和mport模块，请问白金老大要打哪个补丁才有呢，谢谢！