免费注册 查看新帖 |

ChinaUnix.net

  平台 论坛 博客 文库
最近访问板块 发新帖
查看: 725 | 回复: 2

[网络子系统] iptables 和CONNMARK的疑问? [复制链接]

论坛徽章:
1
2017金鸡报晓
日期:2017-01-10 15:13:29
发表于 2016-02-29 17:13 |显示全部楼层
iptables 的CONNMARK,可以配合策略路由使用,一般iptables的规则配置如下:

1.iptables -A POSTROUTING -t mangle -j CONNMARK --restore-mark
2.iptables -A POSTROUTING -t mangle -m mark ! --mark 0 -j ACCEPT
3.iptables -A POSTROUTING -m mark --mark 0 -p tcp --dport 21 -t mangle -j MARK --set-mark 1
4.iptables -A POSTROUTING -m mark --mark 0 -p tcp --dport 80 -t mangle -j MARK --set-mark 2
5.iptables -A POSTROUTING -m mark --mark 0 -t mangle -p tcp -j MARK --set-mark 3
6.iptables -A POSTROUTING -t mangle -j CONNMARK --save-mark
1)第1条规则就是完成了将链接跟踪上的标记记录到该连接上的每一个数据包中;
2)第2条规则判断数据包的标记,如果不为0,则直接ACCEPT。如果数据包上没有被打标记,则交由后面的规则进行匹配并打标记。这里为什么会出现经过了CONNMARK模块,数据包仍未被打标记呢?可以想到,如果一条链接的第1个数据包经过第1条规则处理之后,由于ct->mark为0,所以其数据包的标记skb->nfmark应该仍旧为0,就需要进行后面规则的匹配。
3)第3~5条规则,则按照匹配选项对符合规则的数据包打上不同的标记
4)第6条规则,则是把之前打的标记信息保存到ct

问题是,规则都是在POSTROUTING的位置的,都是已经路由后了,对数据包打mark还会重新去进行路由吗?
简单看了一下xt_connmark.c的代码,好像是没有进行重新路由的
了解的童鞋分享一下

论坛徽章:
1
2017金鸡报晓
日期:2017-01-10 15:13:29
发表于 2016-03-01 09:29 |显示全部楼层
没人回复,自己回复一下,改变iptables规则的位置,放在prerouting的位置就可以结合策略路由使用了

论坛徽章:
20
程序设计版块每日发帖之星
日期:2015-08-17 06:20:00程序设计版块每日发帖之星
日期:2016-07-16 06:20:00程序设计版块每日发帖之星
日期:2016-07-18 06:20:00每日论坛发贴之星
日期:2016-07-18 06:20:00黑曼巴
日期:2016-12-26 16:00:3215-16赛季CBA联赛之江苏
日期:2017-06-26 11:05:5615-16赛季CBA联赛之上海
日期:2017-07-21 18:12:5015-16赛季CBA联赛之青岛
日期:2017-09-04 17:32:0515-16赛季CBA联赛之吉林
日期:2018-03-26 10:02:16程序设计版块每日发帖之星
日期:2016-07-15 06:20:0015-16赛季CBA联赛之江苏
日期:2016-07-07 18:37:512015亚冠之萨济拖拉机
日期:2015-08-17 12:21:08
发表于 2016-03-01 09:54 |显示全部楼层
xt_connmark没有route的逻辑

改变mark后重新route的逻辑是存在的(但不是postrouting),参考mangle表的local_out_hook

http://lxr.free-electrons.com/so ... ptable_mangle.c#L40
注意第68行。
您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

ITPUB技术栈

ITPUB技术栈是ITPUB企业打造的垂直于IT领域的知识社群平台,在这里,你既可以是创作者也可以是消费者。如果你的IT生涯丰富多彩,喷薄的个人价值尽可在小栈内体现;如果你渴望找到志同道合的伙伴,拓宽人脉,小栈比跑会场更快。 小栈特色:
1.极高的用户转化率,实现更直接的知识变现;
2.随时随地,刷个朋友圈的时间,实现更长效的信息沉淀;
3.戳痛、难点的专业咨询,更接近成功解决方案的时刻;
4.贴近意见领袖,个人高速成长,迈入更富有价值的人际圈。

----------------------------------------

技术小栈>>
  

北京盛拓优讯信息技术有限公司. 版权所有 16024965号-6 北京市公安局海淀分局网监中心备案编号:11010802020122
中国互联网协会会员  联系我们:huangweiwei@it168.com
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP