请教：如何用最简单的方式匹配一条tcp连接的第一个含tcp数据的包

ukyo111

感觉用现有的iptables模块无法实现，不知扩展模块有没有能实现这个功能的。\r\n另一个想法是自己写匹配模块，对tcp连接进行跟踪记录，但稍麻烦点。\r\n水平有限，请高人指点，谢谢！

ssffzz1

-m stats --SYN\r\n或者是-m stats --NEW\r\n\r\n语法可能有错。你自己试试即可。\r\n\r\n另外参考IPTABLES指南。

ukyo111

感谢ls帮助，查了一下，SYN或NEW应该都是匹配tcp的握手包，含tcp数据的包的flag应该是PSH | ACK，而跟踪的状态应该是establish，这两种方式都无法匹配到第一个含tcp数据的包。

ssffzz1

哦,你是要匹配第一个包含数据的包哦。也就是3次握手后的第一个包。\r\n\r\n这个目前应该是无法实现的。\r\n不过不知道你要匹配了有什么意义。

kentchoi

3次握手完了之后，发送的第一个数据包，\r\n\r\n我看得是 http 的 ，，client 想server发起的 GET 请求，，数据包，，\r\n\r\naeq 号跟ack 号是跟握手使用的第三步一样的号，\r\n\r\nFlag 里的 PSH 位置一了，，，\r\n\r\n但是 FTP 协议就变得不一样了。

ukyo111

过滤使用80端口却又不是HTTP协议的数据流。

ssffzz1

哦。这个比较难。你可以考虑放行带GET关键字的流，和已经建立了连接的流。\r\n然后拒绝掉80端口。\r\n\r\nACCEPT：已经建立连接的。\r\nACCEPT：带GET关键字的。\r\nDROP ：目的端口是80的。\r\nACCEPT：ALL

ukyo111

倒是可以参考l7-filter模块检查连接前10个包的处理方式。\r\n\r\nACCEPT：带GET关键字的。\r\n这个实现起来也比较困难把。