iptables的状态检测机制(TCP、UDP、ICMP状态详解).pdfVIP

iptablesiptables 的状态检测机制的状态检测机制 iptablesiptables 的状态检测机制的状态检测机制 1.什么是状态检测1.什么是状态检测 1.1.什么是状态检测什么是状态检测 每个网络连接包括以下信息：源地址、目的地址、源端口和目的端口，叫作 套接字对(socket pairs);协议类型、连接状态(TCP 协议)和超时时间等。防火 墙把这些信息叫作状态(stateful)，能够检测每个连接状态的防火墙叫作状态包 过滤防火墙。它除了能够完成简单包过滤防火墙的包过滤工作外，还在自己的内 存中维护一个跟踪连接状态的表，比简单包过滤防火墙具有更大的安全性。 iptables 中的状态检测功能是由 state 选项来实现的。对这个选项，在 iptables 的手册页中有以下描述： state 这个模块能够跟踪分组的连接状态(即状态检测)。 --state state 这里，state 是一个用逗号分割的列表，表示要匹配的连接状态。有效的状 态选项包括：INVAILD，表示分组对应的连接是未知的; ESTABLISHED，表示分组 对应的连接已经进行了双向的分组传输，也就是说连接已经建立;NEW，表示这个 分组需要发起一个连接，或者说，分组对应 的连接在两个方向上都没有进行过 分组传输;RELATED，表示分组要发起一个新的连接，但是这个连接和一个现有的 连接有关，例如：FTP 的数据传输连接和控制连接之间就是 RELATED 关系。 对于本地产生分组，在 PREROUTING 或者 OUTPUT 链中都可以对连接的状态进 行跟踪。在进行状态检测之前，需要重组分组的分片。这就是为什么在 iptables 中不再使用 ipchains 的 ip_always_defrag 开关。 UDP 和 TCP 连接的状态表由/proc/net/ip_conntrack 进行维护。稍后我们再 介绍它的内容。 状态表能够保存的最大连接数保存在 /proc/sys/net/ipv4/ip_conntrack_max 中。它取决于硬件的物理内存。 2.iptables2.iptables 的状态检测是如何工作的的状态检测是如何工作的?? 2.iptables2.iptables 的状态检测是如何工作的的状态检测是如何工作的?? 2.1.iptables2.1.iptables 概述 概述 2.1.iptables2.1.iptables 概述概述 在讨论 iptables 状态检测之前，我们先大体看一下整个 netfilter 框架。 如果要在两个网络接口之间转发一个分组，这个分组将以以下的顺序接收规则链 的检查： PREROUTING 链 如果必要对这个分组进行目的网络地址转换(DNAT)和 mangle 处理。同时， iptables 的状态检测机制将重组分组，并且以以下某种方式跟踪其状态： 分组是否匹配状态表中的一个已经实现(ESTABLISHED)的连接。 它是否是和状态表中某个 UDP/TCP 连接相关(RELATED)的一个 ICMP 分组。 这个分组是否要发起一个新(NEW)的连接。 如果分组和任何连接无关，就被认为是无效(INVALID)的。 FORWARD 链 把分组的状态和过滤表中的规则进行匹配，如果分组与所有的规则都无法匹 配，就使用默认的策略进行处理。 POSTROUTING 链 如果有必要，就对分组进行源网络地址转换(SNAT)， 注意：所有的分组都必须和过滤表的规则进行比较。如果你修改了规则，要 拒绝所有的网络流量，那么即使分组的状态匹配状态表中的一个 ESTABLISHED 条目，也将被拒绝。 下面，我们对 UDP、TCP 和 ICMP 三个协议分别进行分析。 2.2.UDP2.2.UDP 连接 连接 2.2.UDP2.2.UDP 连接连接 UDP(用户数据包协议)是一种无状态协议，以为这个协议没有序列号。不过， 这并不意味着我们不能跟踪 UDP 连接。虽然没有序列号，但是我们还可以使用其 它的一些信息跟踪 UDP 连接的状态。下面是状态表中关于 UDP 连接的条目： udp 17 19 src= dst=0 sport=1032 dport=53 [UN