LinuxParty

Las coincidencias explícitas son aquellas que tienen que cargarse específicamente con la opción -m o --match. Las coincidencias de estado, por ejemplo, exigen el estado de directiva -m antes de ingresar la coincidencia real que desea usar. Algunas de estas coincidencias pueden ser específicas del protocolo. Algunos pueden estar desconectados de cualquier protocolo específico, por ejemplo, estados de conexión. Estos podrían ser NEW (el primer paquete de una conexión aún no establecida), ESTABLISHEDED (una conexión que ya está registrada en el kernel), RELATED (una conexión nueva que fue creada por una establecida antigua) etc. Algunos pueden simplemente se han desarrollado para pruebas o con fines experimentales, o simplemente para ilustrar lo que es capaz de hacer iptables. Esto a su vez significa que no todas estas coincidencias pueden ser útiles a primera vista. Sin embargo, es posible que personalmente encuentre un uso para coincidencias explícitas específicas. Y hay nuevos que vienen todo el tiempo, con cada nueva versión de iptables. Si usted encuentra un uso para ellos o no depende de su imaginación y sus necesidades. La diferencia entre las coincidencias cargadas implícitamente y las cargadas explícitamente es que las coincidencias cargadas implícitamente se cargarán automáticamente cuando, por ejemplo, coincida con las propiedades de los paquetes TCP, mientras que las coincidencias cargadas explícitamente nunca se cargarán automáticamente. Depende de usted para descubrir y activar coincidencias explícitas.

10.3.1. coincidencia AH / ESP

Estas coincidencias se utilizan para los protocolos IPSEC AH y ESP. IPSEC se utiliza para crear túneles seguros a través de una conexión a Internet insegura. Los protocolos AH y ESP son utilizados por IPSEC para crear estas conexiones seguras. Los partidos AH y ESP son en realidad dos partidos separados, pero ambos se describen aquí ya que se parecen mucho, y ambos se usan en la misma función.

No entraré en detalles para describir IPSEC aquí, sino que miraré las siguientes páginas y documentos para más información:

• RFC 2401 - Arquitectura de seguridad para el protocolo de Internet
• FreeS / WAN
• IPSEC Howto
• Linux Advanced Routing y Traffic Control HOW-TO

También hay una tonelada más de documentación en Internet sobre esto, pero usted es libre de buscarlo según sea necesario.

Para usar las coincidencias AH / ESP, necesita usar -m ah para cargar las coincidencias AH, y -m esp para cargar las coincidencias ESP.

Nota

En los kernels 2.2 y 2.4, Linux usó algo llamado FreeS / WAN para la implementación de IPSEC, pero a partir del kernel de Linux 2.5.47 y posteriores, los kernels de Linux tienen una implementación directa de IPSEC que no requiere parchear el kernel. Esta es una reescritura total de la implementación de IPSEC en Linux.

Table 10-5. AH match options

Table 10-6. ESP match options

10.3.2. Conntrack match

La coincidencia conntrack es una versión extendida de la coincidencia de estado, que permite emparejar paquetes de una manera mucho más granular. Le permite ver la información directamente disponible en el sistema de seguimiento de conexión, sin ningún sistema de "frontend", como en el estado de coincidencia. Para obtener más información sobre el sistema de seguimiento de conexión, consulte el capítulo El equipo de estado.

Hay varias coincidencias diferentes reunidas en la coincidencia conntrack, para varios campos diferentes en el sistema de seguimiento de conexión. Estos se compilan juntos en la lista a continuación. Para cargar estas coincidencias, debe especificar -m conntrack.

Tabla 10-7. Opciones de concordancia de Conntrack

10.3.3. Match (coincidencia) DSCP

Esta coincidencia se utiliza para coincidir en paquetes basados ​​en su campo DSCP (Punto de código de servicios diferenciados). Esto está documentado en el RFC 2638 - Una arquitectura de servicios diferenciados de dos bits para Internet RFC. La coincidencia se carga explícitamente especificando -m dscp . El partido puede tomar dos opciones mutuamente excluyentes, que se describen a continuación.

Tabla 10-8. Opciones de coincidencia DSCP

10.3.4. ECN match

La coincidencia ECN se utiliza para coincidir en los diferentes campos ECN en los encabezados TCP e IPv4. ECN se describe en detalle en el RFC 3168 - La adición de la notificación explícita de congestión (ECN) a IP RFC. La coincidencia se carga explícitamente utilizando -m ecn en la línea de comando. La coincidencia de ECN toma tres opciones diferentes como se describe a continuación.

Tabla 10-9. Opciones de coincidencia de ECN

Tabla 10-10. ECN Field en IP

10.3.5. Match de ayuda

Esta es una coincidencia poco ortodoxa en comparación con las otras coincidencias, en el sentido de que usa una sintaxis un poco específica. La coincidencia se utiliza para unir paquetes, en función de conntrack helper con el que está relacionado el paquete. Por ejemplo, veamos la sesión FTP . La sesión de Control se abre y los puertos / conexión se negocian para la sesión de Datos dentro de la sesión de Control. El módulo auxiliar ip_conntrack_ftp encontrará esta información y creará una entrada relacionada en la tabla conntrack. Ahora, cuando ingresa un paquete, podemos ver con qué protocolo está relacionado y podemos hacer coincidir el paquete en nuestro conjunto de reglas en función de qué helper fue utilizado.

Tabla 10-11. Opciones de coincidencia de Helper

10.3.6. Coincidencia de rango de IP

La coincidencia de rango de IP se utiliza para coincidir con los rangos de IP, del mismo modo que las coincidencias de origen y de destino también pueden funcionar. Sin embargo, esta coincidencia agrega un tipo diferente de concordancia en el sentido de que es capaz de coincidir de IP a IP, lo cual no es posible con las coincidencias de fuente y dedestino . Esto puede ser necesario en algunas configuraciones de red específicas, y es bastante más flexible.

Tabla 10-12. Opciones de coincidencia de rango de IP

10.3.7. Partido de longitud

La coincidencia de longitud se utiliza para unir paquetes en función de su longitud. Es muy simple. Si desea limitar la longitud del paquete por alguna extraña razón, o desea bloquear el comportamiento de ping-of-death-like, use la coincidencia de longitud.

Tabla 10-13. Opciones de coincidencia de longitud

10.3.8. Match de límite

La extensión de coincidencia de límite debe cargarse explícitamente con la opción -m limit . Esta coincidencia puede utilizarse, por ejemplo, para proporcionar un registro limitado de reglas específicas, etc. Por ejemplo, puede usar esto para hacer coincidir todos los paquetes que no excedan un valor dado, y después de que se haya excedido este valor, limite el registro de el evento en cuestión. Piense en un límite de tiempo: podría limitar cuántas veces una regla determinada puede coincidir en un determinado período de tiempo, por ejemplo, para disminuir los efectos de los ataques de inundación DoS syn. Este es su uso principal, pero hay más usos, por supuesto. La coincidencia de límite también se puede invertir agregando a ! bandera delante de la coincidencia de límite. ¡Entonces se expresaría como -m límite! --limit 5 / s . Esto significa que todos los paquetes se emparejarán después de que hayan roto el límite.

Para explicar mejor la coincidencia de límite, es básicamente un filtro de contenedor simbólico. Considere tener un cubo con fugas en el que el cubo gotea X paquetes por unidad de tiempo. X se define según la cantidad de paquetes coincidentes que obtenemos, de modo que si obtenemos 3 paquetes, el depósito pierde 3 paquetes por esa unidad de tiempo. La opción --limit nos dice cuántos paquetes rellenar el cubo por unidad de tiempo, mientras que la opción --limit-burst nos dice qué tan grande es el cubo en primer lugar. Por lo tanto, establecer --limit 3 / minute --limit-burst 5 , y luego recibir 5 coincidencias vaciará la cubeta. Después de 20 segundos, la cubeta se vuelve a llenar con otra ficha, y así sucesivamente hasta que se alcance el límite de explosión o hasta que se usen.

Considere el ejemplo a continuación para una explicación más detallada de cómo se puede ver esto.

1. Establecemos una regla con -m límite - límite 5 / segundo - límite-explosión 10 / segundo. El contenedor de tokens de límite de ráfagas se establece inicialmente en 10. Cada paquete que coincide con la regla usa un token.

2. Recibimos paquetes que coinciden, 1-2-3-4-5-6-7-8-9-10, todo dentro de 1/1000 de segundo.

3. El contenedor de tokens ahora está vacío. Una vez que el contenedor de tokens está vacío, los paquetes que cumplen con los requisitos de la regla ya no coinciden con la regla y continúan con la siguiente regla, si corresponde, o acceden a la política de la cadena.

4. Por cada 1/5 s sin un paquete coincidente, el conteo de tokens aumenta en 1, hasta un máximo de 10. 1 segundo después de recibir los 10 paquetes, nuevamente tendremos 5 tokens restantes.

5. Y, por supuesto, el contenedor se vaciará en 1 ficha por cada paquete que reciba.

Tabla 10-14. Limitar las opciones de coincidencia

10.3.9. Partido MAC

La coincidencia MAC ( Control de acceso a medios Ethernet ) se puede usar para unir paquetes en función de su dirección de origen MAC . Al escribir esta documentación, este emparejamiento es un poco limitado, sin embargo, en el futuro esto puede ser más evolucionado y puede ser más útil. Esta coincidencia se puede usar para unir paquetes en la dirección MAC de origen solo como se dijo anteriormente.

Tabla 10-15. Opciones de coincidencia de MAC

10.3.10. Marcar partido

La extensión de concordancia de marca se usa para unir paquetes basados ​​en las marcas que han establecido. Una marca es un campo especial, solo mantenido dentro del kernel, que está asociado con los paquetes a medida que viajan a través de la computadora. Las marcas pueden ser utilizadas por diferentes rutinas del kernel para tareas tales como el modelado del tráfico y el filtrado. A partir de hoy, solo hay una forma de establecer una marca en Linux, es decir, el objetivo MARK en iptables . Esto se hizo previamente con el objetivo FWMARK en ipchains , y esta es la razón por la cual las personas todavía se refieren a FWMARK en áreas avanzadas de enrutamiento. El campo de marca está actualmente configurado en un entero sin signo, o 4294967296 valores posibles en un sistema de 32 bits. En otras palabras, probablemente no te topes con este límite por bastante tiempo.

Tabla 10-16. Marcar opciones de coincidencia

10.3.11. Partido multipuerto

La extensión de coincidencia multipuerto se puede usar para especificar múltiples puertos de destino y rangos de puertos. Sin la posibilidad de que este emparejamiento dé, tendría que usar múltiples reglas del mismo tipo, solo para hacer coincidir diferentes puertos.

Tabla 10-17. Opciones de coincidencia multipuerto

10.3.12. Coincidencia del propietario

La extensión de coincidencia del propietario se utiliza para unir paquetes en función de la identidad del proceso que los creó. El propietario puede especificarse como el ID del proceso del usuario que emitió el comando en cuestión, el del grupo, el proceso, la sesión o la del comando mismo. Esta extensión se escribió originalmente como un ejemplo de para qué se podría usar iptables . El emparejamiento propietario solo funciona dentro de la cadena OUTPUT, por razones obvias: es casi imposible encontrar información sobre la identidad de la instancia que envió un paquete desde el otro extremo, o donde hay un salto intermedio al destino real . Incluso dentro de la cadena OUTPUT no es muy confiable, ya que ciertos paquetes pueden no tener un propietario. Los paquetes notorios de ese tipo son (entre otras cosas) las diferentes respuestas ICMP. Las respuestas ICMP nunca coincidirán.

Tabla 10-18. Opciones de coincidencia del propietario

10.3.13. Tipo de paquete partido

La coincidencia de tipo de paquete se utiliza para unir paquetes según su tipo. Es decir, están destinados a una persona específica, a todos o a un grupo específico de máquinas o usuarios. Estos tres grupos generalmente se denominan unidifusión, difusión y multidifusión, como se explica en el capítulo de repetición de TCP / IP . La coincidencia se carga utilizando -m pkttype .

Tabla 10-19. Opciones de coincidencia de tipo de paquete

10.3.14. Partido reciente

La coincidencia reciente es un sistema de concordancia bastante grande y complejo, que nos permite unir paquetes basados ​​en eventos recientes que hemos igualado previamente. Por ejemplo, si veríamos una conexión IRC saliente, podríamos establecer las direcciones IP en una lista de hosts, y tener otra regla que permita que vuelvan las solicitudes identificadas del servidor IRC dentro de los 15 segundos de ver el paquete original.

Antes de que podamos echar un vistazo más de cerca a este partido, intentemos explicar un poco cómo funciona. En primer lugar, utilizamos varias reglas diferentes para lograr el uso de la coincidencia reciente. El partido reciente usa varias listas diferentes de eventos recientes. La lista predeterminada que se utiliza es la lista DEFAULT. Creamos una nueva entrada en una lista con la opción set, de modo que una vez que una regla coincide por completo (la opción set siempre es una coincidencia), también agregamos una entrada en la lista reciente especificada. La entrada de la lista contiene una marca de tiempo y la dirección IP de origen utilizada en el paquete que desencadenó la opción establecida. Una vez que esto haya sucedido, podemos utilizar una serie de opciones recientes diferentes para que coincidan con esta información, así como también actualizar la marca de tiempo de las entradas, etcétera.

Finalmente, si por algún motivo quisiéramos eliminar una entrada de la lista, lo haríamos utilizando la coincidencia de eliminación del módulo reciente. Todas las reglas que usan la coincidencia reciente deben cargar el módulo reciente ( -m reciente ) como de costumbre. Antes de continuar con un ejemplo de la coincidencia reciente, echemos un vistazo a todas las opciones.

Tabla 10-20. Opciones de partido recientes

En resumen, este es un reemplazo deficiente para el motor de estado disponible en netfilter. Esta versión se creó con un servidor http en mente, pero funcionará con cualquier conexión TCP. Primero hemos creado dos cadenas llamadas http-recent y http-recent-final. La cadena http-recentse usa en las etapas iniciales de la conexión y para la transmisión de datos real, mientras que la cadena http recent-final se utiliza para el último y final intercambio de información FIN , FIN / ACK .

Sigamos un paquete a través del conjunto de reglas de ejemplo. Primero, un paquete ingresa a la cadena INPUT, y lo enviamos a la cadena http-recent.

1. El primer paquete debe ser un paquete SYN, y no debe tener los bits ACK, FIN o RST establecidos. Por lo tanto, coincide con la línea --tcp-flags SYN, ACK, FIN, RST SYN . En este punto, agregamos la conexión al httplist usando -m reciente --name httplist --set línea. Finalmente aceptamos el paquete.

2. Después del primer paquete, deberíamos recibir un paquete SYN / ACK para confirmar que se recibió el paquete SYN. Esto se puede combinar usando la línea --tcp-flags SYN, ACK, FIN, RST SYN, ACK . FIN y RST también deberían ser ilegales en este punto. En este punto, actualizamos la entrada en el httplist usando -m reciente --name httplist --update y finalmente ACEPTAMOS el paquete.

3. Por ahora deberíamos obtener un paquete ACK final, desde el creador original de la conexión, para confirmar el SYN / ACK enviado por el servidor. SYN, FIN y RST son ilegales en este punto de la conexión, por lo que la línea debería verse como --tcp-flags SYN, ACK, FIN, RST ACK . Actualizamos la lista exactamente de la misma manera que en el paso anterior y la ACEPTAMOS.

4. En este punto, la transmisión de datos puede comenzar. La conexión nunca debe contener ningún paquete SYN ahora, pero contendrá paquetes ACK para reconocer los paquetes de datos que se envían. Cada vez que vemos un paquete como este, actualizamos la lista y ACEPTAMOS los paquetes.

5. La transmisión se puede finalizar de dos maneras, la más simple es el paquete RST. RST simplemente restablecerá la conexión y morirá. Con FIN, el otro punto final responde con un FIN, ACK, y esto cierra la conexión para que la fuente original de FIN ya no pueda enviar datos. El receptor de la FIN todavía podrá enviar datos, por lo que enviamos la conexión a una cadena de etapas "final" para manejar el resto.

6. En la cadena http-recent-final comprobamos si el paquete todavía está en el httplist, y si es así, lo enviamos a la cadena http-recent-final1. En esa cadena, eliminamos la conexión del httplist y la agregamos a la lista http-recent-final. Si la conexión ya se ha eliminado y trasladado a la lista http reciente, le enviamos el paquete a la cadena http-recent-final2.

7. En la última cadena http-recent-final2, esperamos que el lado no cerrado termine de enviar sus datos y también cierre la conexión desde su lado. Una vez hecho esto, la conexión se elimina por completo.

Como puede ver, la lista reciente puede volverse bastante compleja, pero le brindará un gran conjunto de posibilidades si es necesario. Aún así, trate de recordar no reinventar la rueda. Si la capacidad que necesita ya está implementada, intente utilizarla en lugar de tratar de crear su propia solución.

10.3.15. Partido estatal

La extensión de coincidencia de estado se utiliza junto con el código de seguimiento de conexión en el kernel. La coincidencia de estado accede al estado de seguimiento de la conexión de los paquetes desde la máquina conntracking. Esto nos permite saber en qué estado se encuentra la conexión y funciona para prácticamente todos los protocolos, incluidos protocolos sin estado como ICMP y UDP. En todos los casos, habrá un tiempo de espera predeterminado para la conexión y luego se eliminará de la base de datos de seguimiento de la conexión. Esta coincidencia debe cargarse explícitamente al agregar una declaración de -m state a la regla. A continuación, tendrá acceso a una nueva coincidencia llamada estado.

Tabla 10-21. Partidos estatales

10.3.16. Coincidencia TCPMSS

La coincidencia de tcpmss se usa para hacer coincidir un paquete basado en el Tamaño de segmento máximo en TCP. Esta coincidencia solo es válida para los paquetes SYN y SYN / ACK. Para obtener una explicación más completa del valor de MSS, consulte el apéndice de opciones de TCP , el RFC 793 - Protocolo de control de transmisión y el RFC 1122 - Requisitos para los servidores de Internet - Documentos de capas de comunicación . Esta coincidencia se carga usando -m tcpmss y toma solo una opción.

Tabla 10-22. Opciones de coincidencia de TCPMSS

10.3.17. TOS coinciden

La coincidencia de TOS se puede usar para unir paquetes en función de su campo de TOS . TOS significa Tipo de servicio, consta de 8 bits y se encuentra en el encabezado IP. Esta coincidencia se carga explícitamente agregando -m tos a la regla. TOS se usa normalmente para informar a los hosts intermedios de la precedencia de la transmisión y su contenido (en realidad no lo hace, pero informa de cualquier requisito específico para la transmisión, como que se debe enviar lo más rápido posible o que necesita para poder enviar tanta carga útil como sea posible). La forma en que los enrutadores y administradores se encargan de estos valores depende. A la mayoría no les importa en absoluto, mientras que otros hacen todo lo posible para hacer algo bueno con los paquetes en cuestión y la información que proporcionan.

Tabla 10-23. TOS coincide

10.3.18. Partido TTL

La coincidencia TTL se utiliza para unir paquetes basados ​​en su campo TTL (Time To Live) que reside en los encabezados de IP. El campo TTL contiene 8 bits de datos y se reduce una vez cada vez que es procesado por un host intermedio entre el cliente y el host del destinatario. Si el TTL llega a 0, un código ICMP de tipo 11 (TTL equivale a 0 durante el tránsito) o el código 1 (TTL es igual a 0 durante el reensamblaje) se transmite a la parte que envía el paquete e informa el problema. Esta coincidencia solo se usa para unir paquetes basados ​​en su TTL, y no para cambiar nada. Este último, por cierto, se aplica a todo tipo de partidos. Para cargar esta coincidencia, debe agregar un -m ttl a la regla.

Tabla 10-24. Partidos TTL

10.3.19. Coincidencia sucia

La coincidencia sucia no toma opciones y no requiere más que cargarla explícitamente cuando quiera usarla. Tenga en cuenta que esta opción se considera experimental y puede no funcionar en todo momento, ni se ocupará de todos los paquetes o problemas sucios. La coincidencia sucia intenta emparejar paquetes que parecen mal formados o inusuales, como paquetes con encabezados incorrectos o sumas de comprobación, etc. Esto podría usarse para conexiones DROP y para detectar corrientes malas, por ejemplo; Sin embargo, debe tener en cuenta que posiblemente podría romper las conexiones legales.