-M এবং -p পরামিতি সহ Iptables

Question

আমার iptables এ আমার এই নিয়ম রয়েছে:

iptables -A INPUT -p tcp -m tcp --dport 9191 -j DROP

আমার কি সত্যিই "-m tcp" দরকার? আমি ইতিমধ্যে "-p tcp" ব্যবহার করছি, তাই আমার আরও সুরক্ষিত হওয়ার জন্য "-m tcp" ব্যবহার করা উচিত?

Answer 1

সঙ্গে -p tcpএবং বিকল্প TCP মডিউল ইতিমধ্যে লোড হয় এটা কিছুটা অপ্রয়োজনীয় তজ্জন্য এবং একটি আবশ্যক ব্যবহার করতে -m tcpবিকল্প এবং আমি কোন কারণে কেন এই বিকল্পটি ব্যবহার নিয়ম আরো নিরাপদ করতে হবে দেখতে না।

আরও ভাল বোঝার জন্য এবং তুলনা করার জন্য দয়া করে iptables ম্যান পৃষ্ঠাটি দেখুন :

-পি, --প্রোটোকল [!] প্রোটোকল

নিয়মের প্রোটোকল বা প্যাকেটের পরীক্ষা করা। নির্দিষ্ট প্রোটোকলটি টিসিপি, ইউডিপি, আইসিএমপি বা সমস্ত হতে পারে , বা এটি একটি সংখ্যাসূচক মান হতে পারে, এই প্রোটোকলগুলির মধ্যে একটি বা অন্য একটিকে উপস্থাপন করে। / ইত্যাদি / প্রোটোকল থেকে একটি প্রোটোকল নাম অনুমোদিত। এ "!" প্রোটোকল পরীক্ষার উল্টে যাওয়ার আগে যুক্তি। শূন্য সংখ্যাটি সকলের সমান। প্রোটোকল সবগুলিই সমস্ত প্রোটোকলের সাথে মিলবে এবং এই বিকল্পটি বাদ দিলে ডিফল্ট হিসাবে নেওয়া হবে।

...

ম্যাচ এক্সটেনশানস

iptables বর্ধিত প্যাকেট ম্যাচিং মডিউল ব্যবহার করতে পারেন। এগুলি দুটি উপায়ে লোড করা হয়: স্পষ্টতই, যখন -p বা --প্রোটোকল নির্দিষ্ট করা থাকে, বা -m বা - ম্যাচ বিকল্পগুলির সাথে মিলিত মডিউল নামটি অনুসরণ করে; এর পরে, নির্দিষ্ট মডিউলের উপর নির্ভর করে বিভিন্ন অতিরিক্ত কমান্ড লাইন বিকল্প উপলব্ধ। আপনি এক লাইনে একাধিক প্রসারিত ম্যাচ মডিউলগুলি নির্দিষ্ট করতে পারেন এবং মডিউলটি নির্দিষ্ট করে মডিউলটির জন্য নির্দিষ্ট সহায়তা পেতে নির্দিষ্ট করার পরে -h বা --help বিকল্পগুলি ব্যবহার করতে পারেন।

এবং -p tcpএখানে উপলভ্য বিকল্পগুলির তালিকার জন্য :

http://ipset.netfilter.org/iptables-extensions.man.html#lbCF

উপরে উল্লিখিত হিসাবে, -mবিকল্পের ব্যবহারের সাহায্যে এক্সটেনশন মডিউল যুক্ত করা সম্ভব এবং আরও মেশানো বিকল্পগুলি তখন উপলব্ধ। উদাহরণস্বরূপ সিপিইউ মডিউল :

সিপিইউ

[!] --cpu নম্বর

এই প্যাকেটটি পরিচালনা করে সিপিইউ মিলান atch সিপাসটি 0 থেকে এনআর_সিসিপিএস -১ নম্বরযুক্ত রয়েছে বিভিন্ন কাতারে নেটওয়ার্ক ট্র্যাফিক ছড়িয়ে দিতে আরপিএস (রিমোট প্যাকেট স্টিয়ারিং) বা মাল্টিক্যু এনআইসির সংমিশ্রণে ব্যবহার করা যেতে পারে।

উদাহরণ:

iptables -t nat -A PREROUTING -p tcp --dport 80 -m cpu --cpu 0 -j REDIRECT --to-port 8080

iptables -t nat -A PREROUTING -p tcp --dport 80 -m cpu --cpu 1 -j REDIRECT --to-port 8081

লিনাক্স ২.6.৩6 থেকে পাওয়া যায়।

Iptables- এক্সটেনশনের সম্পূর্ণ তালিকা ।

---

ও.পি. থেকে অতিরিক্ত প্রশ্ন: কী মিলে যায় তা আমি বুঝতে পারি না। কি স্ট্রিং? -এম টিসিপি মিলবে কি? এটি "টিসিপি" শব্দটি কোথায় খুঁজে পাওয়ার চেষ্টা করে?

উত্তর: মডিউল নামের সাথে-m মিলিয়ে স্ট্রিং নয় for একটি নির্দিষ্ট মডিউল ব্যবহার করে আপনি মেলাতে কিছু নির্দিষ্ট বিকল্প পাবেন। উপরে সিপিইউ মডিউল উদাহরণ দেখুন। সঙ্গে মডিউল TCP লোড করা হয়। Tcp মডিউলটি নির্দিষ্ট বিকল্পগুলির জন্য অনুমতি দেয়: iptables নিয়মে ব্যবহার করতে। তবে ইতিমধ্যে ব্যবহার করে টিসিপি মডিউল সক্ষম করে , এজন্যই এখনও কেউ ব্যবহার না করেই এই বিকল্পগুলি ব্যবহার করতে পারে । আশা করি এটি আপনার সমস্ত বিভ্রান্তি মুছে ফেলে।-m tcp--dport, --sport, --tcp-flags, --syn, --tcp-option-p tcp-m tcp

Comments

আপনাকে অনেক ধন্যবাদ, তবে আমাকে কী বলতে হবে - -এম এর সাথে কী মিলবে? উদাহরণস্বরূপ, একটি সাধারণ টিসিপি সংযোগ, -ম কোন স্ট্রিংয়ের সাথে মেলে? আপনি কি স্ট্রিংয়ের একটি উদাহরণ সরবরাহ করতে পারেন

— সামুল

আপনি স্বাগত জানাই। আপনি দেখতে পাচ্ছেন যে -mবিকল্পটি লোড extension modulesকরতে ব্যবহৃত হয় যা অতিরিক্ত বিকল্প সরবরাহ করে। আমার আপডেট হওয়া উত্তর এবং উদাহরণটির জন্য লিঙ্কটি দেখুন।

— হীরা 14

ধন্যবাদ! :) একটি চূড়ান্ত চিন্তা: আমি মনে করি যে আমার ক্ষেত্রে আমার "-ম" ঠিক রাখা উচিত? এটি দেখুন: iptables -A INPUT -p tcp -m tcp --dport 9191 -j DROP আমি "--dport" ব্যবহার করি এবং আমি মনে করি যে আমি -m সঠিক ব্যবহার করলে --ddport ব্যবহার করা সম্ভব?

— সামুল

@ সামুল, সত্যই নয়। আপনি কেবল এটি -m tcpবিকল্প ছাড়াই ব্যবহার করতে পারেন । --dportটিসিপি মডিউলের অংশ এবং এটি -p tcpকেবলমাত্র কাজ করবে । আমার উত্তরটি আবার দেখুন।

— ডায়মন্ড

আপনি খুব দয়ালু, ধন্যবাদ! তবে দেখুন: আমি কী বুঝতে পারি না m কি স্ট্রিং? -এম টিসিপি মিলবে কি? এটি "টিসিপি" শব্দটি কোথায় খুঁজে পাওয়ার চেষ্টা করে?

— সামুল