Networking options ---> Kernel/User netlink socket Network packet filtering (replaces ipchains) IP: Netfilter Configuration ---> IP tables support (required for filtering/masq/NAT) LENGTH match support MARK target support QoS and/or fair queueing ---> select everything here.
Ja, det forklarer kanskje saken. iptables er jo ikke firewall eller routingfunksjonen selv, bare et teksbasert grensesnitt for konfigurasjon av de funksjonene som finnes inne i kernel (dersom de er kompilert inn.)
Kunne ikke finne beskrivelse av "pakkesorteringskriterium" --lenght men viss den er helt ny, så forklarer jo det saken.
Det ligger vel videre i sakens natur at både kernel og iptabels konfigurasjonsverktøyet må støtte funksjonen samtidig for at det hele skal fungere. (RH 8.0 har vel 2.4.18 så vidt jeg husker, så det burdte gå bra.)
Kjente i utgangspunktet ikke til denne iptables eller firewall funksjonen, men ser i den refererte guiden følgende beskrivelse:
We will match the packets by their size and mark them acordingly. A packet of size 0 -> 500 will be considered interactive traffic and marked with fwmark value "3"
iptables -t mangle -A OUTPUT -m length --length 0:500 -j MARK --set-mark 3
Med andre ord:
For tabell mangle, sett til en regel i output chain som forandrer verdien av MARK feltet til 3 for de ip pakkene som har en lengde i intervallet fra 0 til 500.
-t = tabell -A = append, sett til regel. -m = match - kontroller om visse kriteria er oppfylt. -j = jump - "jump" over til
jeg fik det selv til at virke den gang. sry jeg glemte at følge op på spørsmålet, men hvis langbein lige smider et svar skal jeg nok dele point mellem jer :o)
zeus19 -> Den modul som manglet kunne du få lagt den in ? Har via opplysninger her på eksperten funnet ut at iptables ut fra visse forutsetminger kan matche tekststrenger. Dette vil i så fall åpne for en del nye muligheter (skulle en tro.). Lurer på om det kan være denne kernelmodulen du har funnet tak i ??
Ja, men det er da ikke egentlig så farlig med disse poengene .. Det får så være. Kommentaren til zeus19 inneholder en ganske interessant observasjon. Dersom det er slik at kernelmodule for matching av teksstrenger er innarbeidet fra RH8 så kan det kanske medføre at det er mulig å lage firewall regler som for eksempel stenger ute visse domener, altså å lage firevall filtering regler som har egenskaper som likner på det som ellers gjelder for application level firevall. Bare en liten teori eller tanke så langt ..
ja det er interesant.. Dog tror jeg ikke du kan lukke for enkelte domener. Det skyldes at iptables jo så skulle resolve dns for hvert domain. Dette ville ikke være brugbart på en server. :o)
Tja, nei .. det måtte eventuelt fungere på den måten at den fanget opp den teksstrengen i ip pakken som inneholdt en domene adresse, for eksempel "dropp alle ip pakker som inneholder tekststrengen "microsoft.com". Man kunne tenke seg at dette kunne fungere i de tilfeller at man for eksempel bruker absolutt adressering i html kode. Har aldri prøvd og aner ikke om dette event kunne fungere. Noen resolving kan det ikke under noen omstendighet bli snakk om. Det ville vel gå alt for langsomt.
Tror ikke det vil virke. iptables kigger jo ikke umiddelbart på destination - borset fra protokol/port og smider trafikken videre den vej. Du kunne jo i princippet sagtens smide FTP trafik over port 81, selvom FTP og HTTP er meget forskellige. Det kigger iptables ikke på. Den gør bare den "routing" den har fået besked på - baseret på, protokol/port
Teorien er ok, men jeg tror ikke den holder i virkeligheden :)
Ja vanligvis så sjekker man bare innholdet i ipheader. Har ikke funnet noe annet enn dette beskrevet i den ofesielle dokumentasjon.
Har der i mot sett eksempler her på eksperten der noen tydeligvis hadde forsøkt å gjøre sammenlikning med/i selve datadelen av ip pakken (så vidt jeg kunne bedømme.)
Forsøkte å kjøre dette scriptet og fikk melding om at de nødvendige kernel modules for slike tekst operasjoner ikke var loadet (så mon de da faktisk finnes ???)
Så en regel som sjekker lengden på en ip pakke, hva er det den måler lengden av ? Det kan vel ikke være "header".
Vet ikke svaret på disse problemstillingene. Bare noen løse tanker (som basis for videre test.)
This patch by Emmanuel Roger <winfield@freegates.be> adds a new match that allows you to match a string anywhere in the packet.
For example, to match packets containing the string ``cmd.exe'' anywhere in the packet and queue them to a userland IDS, you could use :
# iptables -A INPUT -m string --string 'cmd.exe' -j QUEUE
# iptables --list Chain INPUT (policy ACCEPT) target prot opt source destination QUEUE all -- anywhere anywhere STRING match cmd.exe
Please do use this match with caution. A lot of people want to use this match to stop worms, along with the DROP target. This is a major mistake. It would be defeated by any IDS evasion method.
In a similar fashion, a lot of people have been using this match as a mean to stop particular functions in HTTP like POST or GET by dropping any HTTP packet containing the string POST. Please understand that this job is better done by a filtering proxy. Additionally, any HTML content with the word POST would get dropped with the former method. This match has been designed to be able to queue to userland interesting packets for better analysis, that's all. Dropping packet based on this would be defeated by any IDS evasion method.
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
Ny bruger
Nybegynder
Opret
Preview
