Как отбросить трафик, прежде чем он попадет в существующее правило iptables conntrack?

Я запускаю приложение, которое внедряет правила отслеживания подключений iptables в ядро, чтобы машина могла как можно быстрее пересылать входящий UDP-трафик по назначению.

некоторый трафик, полученный на этой машине, не совсем соответствует спецификации, и принимающая сторона не всегда обрабатывает этот трафик как следует. К сожалению, поставщик оборудования отправки говорит, что нет ничего плохого в том, что они отправляют, и поставщик принимающей стороны говорит отправитель никогда не должен отправлять такой трафик, поэтому я пойман в середине, пытаясь решить проблему.

сервер, где у меня есть полный контроль над трафиком, использует отслеживание соединений iptables для пересылки трафика от одной отправляющей стороны к принимающей стороне с использованием ввода из другого приложения. Нарушающий трафик легко узнаваем, это единственный трафик, использующий полезную нагрузку UDP 0 длины, отправляемую отправляющей стороной.

Как я могу убедиться, что мое правило iptables удаление нарушителя дорожного движения срабатывает до трассировщика отправляет сообщения по протоколу UDP?

С помощью iptables -A INPUT -p udp --dport 50000:60000 -m length --length 8 -j DROP не работает, пакеты по-прежнему проходят через машину. Я также попытался с длиной 8 (размер заголовка UDP), но результат тот же.

17
задан ramdyne
04.04.2023 16:53 Количество просмотров материала 3159
Распечатать страницу

2 ответа

для фильтрации пересылаемого трафика необходима прямая цепочка, входная цепочка предназначена для трафика, предназначенного для системы, в которой включено правило.

0
отвечен Timothy Baldwin 2023-04-06 00:41

Как предложил Тимоти Болдуин, фильтр должен быть в прямой цепи. Параметр length не работает на полезной нагрузке UDP или длине пакета, но на длине пакета IP естественно

Так что команда, которая работает iptables -A FORWARD -p udp --dport 50000:60000 -m length --length 28 -j DROP, где длина 20 байт для IP heaer и 8 для заголовка UDP

0
отвечен ramdyne 2023-04-06 02:58

Постоянная ссылка на данную страницу: [ Скопировать ссылку | Сгенерировать QR-код ]

Ваш ответ

Опубликуйте как Гость или авторизуйтесь

Имя
Вверх