iptables的state模块的4种封包链接状态

最新推荐文章于 2024-06-13 22:50:39 发布
最新推荐文章于 2024-06-13 22:50:39 发布
阅读量3k 收藏
点赞数
CC 4.0 BY-SA版权
分类专栏： linux系统 linux运维 工具 文章标签： iptables state NEW ESTABLISHE RELATED
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/jeremy_yangt/article/details/48323109

在iptables下这个模块叫state，在NetFilter结构里，该模块保存在xt_state.ko这个文件中。这里我们称呼其为state模块。

在state中封包的4种链接状态分别为：

ESTABLISHED
NEW
RELATED
INVALID

这里我简单讲一下这四种链接状态。

NEW
当你在使用UDP、TCP、ICMP等协议时，发出的第一个包的状态就是“NEW”

ESTABLISHED
当你在使用TCP、UDP、ICMP等协议时：假设你的主机发出的第一个包成功穿越防火墙，那么接下来你的主机 发出和接收 到的包的状态都是“ESTABLISHED”。

RELATED
这里我大致讲一下，当你执行Linux下执行traceroute（Windows下对应的命令为tracert）命令时，这个traceroute会发出一个封包，该封包的TTL（生存时间，Time To Live）位1，当这个包遇到路由器的时候它的TTL会减少1，这时TTL = 0，然后这个包会被丢弃，丢弃这个包的路由器会返回一个ICMP Type 11的封包给你，并告诉你那个发出的数据包气数已尽。而这个ICMP Type 11的链接状态就是“RELATED”。这里我讲的不是很清楚，因为我暂时就会这些。

INVALID
状态为INVALID的包就是状态不明的包，也就是不属于前面3中状态的包，这类包一般会被视为恶意包而被丢弃。

iptables(7)扩展模块state
Monster✺◟(∗❛ัᴗ❛ั∗)◞✺的博客
06-24 1392
前面文章我们已经介绍了一些扩展模块，如iprange、string、time、connlimit、limit，还有扩展匹配条件如--tcp-flags、icmp。这篇文章我们介绍state扩展模块。
Linux之安全iptables详解
企业实战系列集 ●●● https://ximenjianxue.blog.youkuaiyun.com
08-21 3153
【IPtables概述】 谈到iptables，其实它并不是一个单独的个体，它是 netfilter/iptables IP 信息包过滤系统中两个组件 netfilter 和 iptables的其中一个。Netfilter是由Rusty Russell提出的Linux 2.4内核防火墙框架，该框架简洁灵活，可实现安全策略应用中的许多功能，如：数据包过滤、数据包处理、地址伪装、透明代理、动态网络地址...
iptables中state模块的连接状态
weixin_33834628的博客
03-10 513
前言 　　在之前的学习中对iptables的语法有了一定的了解，对于在不太复杂的网络结构中的一些简单的语句可以进行简单的分析了。当然，如果对语句和相关架构不清楚的可以参考：（Linux防火墙之Netfilter）http://waringid.blog.51cto.com/65148/402648以及（iptables之语法初步）http://waringid.blog.51cto.com/65...
iptables之state状态
Error_404notFound的博客
05-31 1991
定义包的状态依据IP所包含的协议不同而不同，但在内核外部，也就是用户空间里， 只有4种状态：NEW，ESTABLISHED，RELATED 和INVALID。它们主要是和状态匹配一起使用。以便匹配数据包。这可以使我们的防火墙非常强壮和有效参数-m state --state <NEW,ESTATBLISHED,INVALID,RELATED> ##指定匹配哪种状态– INVALID： 无效
iptables 之 state模块(ftp服务练习)
码二哥的技术池
06-22 887
有些场景下，我们要能够识别出报文是主机主动发送出去的，还是主机被动接收的；因此，需要给报文添加上一些状态；防火墙可以根据数据包的状态，添加更加详细、有效的防火墙规则。只关心用户层面，不考虑内核层。在用户层面，定义了4种状态：在Mac环境上使用PD创建两个虚拟机，系统是centos7.5左边的虚拟机，用于安装vsftpd服务，IP是10.211.55.20右侧的虚拟机，用户安装ftp命令客户端，IP是10.211.55.10整个过程，会创建两个链接：在10.211.55.20虚拟机上 3.2.2、修改配置文件
【Linux网络】防火墙工具iptables
云计算稿手的博客
05-23 1085
防火墙工具iptables。
iptables教程
06-13 2864
如果一个数据包没有匹配到一个链中的任何一个规则，那么将对该数据包执行这个链的默认策略(default policy)，默认策略可以是 ACCEPT 或 DROP。链中默认策略的存在使得我们在设计防火墙时可以有两种选择：设置默认策略 DROP 所有的数据包，然后添加规则接受(ACCEPT)来自可信 IP 地址的数据包，或访问我们的服务监听的端口的数据包，比如 bittorrent、FTP 服务器、Web 服务器、Samba 文件服务器等等。
运维工具之iptables命令
m0_60981735的博客
01-16 1907
粗略的介绍了一下iptables的原理规则以及在实际运维场景中如何使用
【LinuxShell】linux防火墙之iptables防火墙
一个萌新的博客
05-17 834
iptables防火墙增删改查等操作
iptables 状态机制
11-21
iptables 状态机制
iptables实例2-state模块
yuyuyuliang00的博客
02-22 1966
iptables实例2-state模块 实验准备： https://blog.youkuaiyun.com/yuyuyuliang00/article/details/123012202?spm=1001.2014.3001.5501中的准备工作 清空前一次实验中iptables filter表中链上的所有规则：
iptables 状态机
weixin_34151004的博客
07-16 215
1.6 状态机制状态机制是iptables中较为特殊的一部分，这也是iptables和比较老的ipchains的一个比较大的区别之一，运行状态机制（连接跟踪）的防火墙称作带有状态机制的防火墙，以下简称为状态防火墙。状态防火墙比非状态防火墙要安全，因为它允许我们编写更严密的规则。在iptables上一共有四种状态，分别被称为NEW、ESTABLISHED、INVALID、REL...
iptables的状态
macob的专栏
07-31 353
1、NEW2、ESTABLISHED3、RELATED4、INVALIDiptables-tfilter-IINPUT1-pall-mstate--stateINVALID-jDROP。
iptables的 status状态
opkg list
03-25 2250
这几天遇到一个问题，iptables中INPUT已经禁止wan口的所有端口，并且没有放开1701端口，为啥vpn拨号还能成功？ 本文比较浅显，只是记录下问题过程。 1.首先理解下iptables的四种状态 NEW状态：与协议无关，每一条连接中的第一个数据包。 ESTABLISHED状态：当在使用tcp，udp协议时，假使主机发的第一个包成功传过防火墙，那么接下来主机发出和接收到的包的...
oa办公系统自动化的数据流图_集团开展OA办公自动化系统培训会
weixin_39940425的博客
11-17 212
点击蓝字关注我们 为推进办公自动化系统的使用，进一步提高工作效率，强化管理能力水平，6月25日下午，集团组织开展OA办公自动化系统培训会，集团及权属企业人员相关工作人员约40人参加会议。12 会上，OA系统供应商技术人员对与会人员进行了系统培训。技术人员详细介绍了OA办公自动化系统和OA系统手机端，针对系统登录、收发文管理、通用审批、考勤管理等模块，逐一进行现场讲解...
查看iptables防火墙状态
cschmin的专栏
06-10 5995
<br />使用service iptables status可查看iptables防火墙是否开启
iptables--状态机制
香蕉一号
07-02 1679
iptables--状态机制1.概述2.conntrack记录3.用户空间的状态 1.概述 状态机制是 iptables 中特殊的一部分,其实它不应该叫状态机制,因为它只是一种连接跟踪机制。连接跟踪可以让 Netfilter 知道某个特定连接的状态。运行连接跟踪的防火墙称作带有状态机制的防火墙,以下简称为状态防火墙。状态防火墙比非状态防火墙要安全,因为它允许我们编写更严密的规则。在 iptables 里,包是和被跟踪连接的四种不同状态有关的。它们是NEW,ESTABLISHED, RELATED 和INVA
iptables状态匹配
Z_xiao_feng的博客
05-31 534
iptables状态匹配 本案例要求利用状态跟踪机制，编写iptables规则实现以下需求： 允许从内网访问外网的服务 禁止从外网访问内网 对于“内网–>外网”的Web访问，取消状态跟踪 沿用练习二的网络环境、路由配置，本例中的防火墙规则设置在网关gw1上来完成。 步骤一：清理现有的防火墙规则，排除干扰 清空filter表： [root@gw1 ~]# iptables -F 确认结果： ...
iptables内核模块
最新发布
01-03
### iptables内核模块概述 iptables 是 Linux 内置的一个强大的防火墙工具，其功能依赖于多个内核模块来实现网络流量过滤和地址转换等功能。iptable 的工作原理基于 netfilter 架构，在数据包通过不同链时对其进行匹配并执行相应操作[^1]。 对于 IPv4 协议栈而言，主要涉及以下几个重要的内核模块： - `ip_tables`：这是最基本的框架模块，负责处理所有的 IP 数据报文。 - `nf_conntrack_ipv4` 和其他连接跟踪模块：用于维护状态表，支持状态检测机制。 - 各种特定用途的扩展模块如 `iptable_nat`, `ipt_MASQUERADE` 等等，它们提供了额外的功能比如 NAT 转换、端口映射等等[^2]。 加载这些必要的内核模块可以通过命令行完成；通常情况下，当首次调用相关特性时会自动装载所需组件。然而有时可能需要手动干预以确保所有必需项都已就绪。 ```bash modprobe ip_tables lsmod | grep ip_tables ``` 上述脚本展示了如何显式地载入 `ip_tables` 模块以及验证它是否已经被成功加入到当前运行中的内核环境中去[^3]。 ### 常见问题及其解决方案 #### 无法保存规则集 如果遇到更改后的策略未能持久化的情况，则需确认是否有安装相应的服务程序（例如 RedHat/CentOS 下面的 `iptables-services`），或者是使用了不兼容的方式来进行设置存储。可以尝试利用如下方法之一来解决这个问题： - 安装并启用官方提供的管理套件； - 手动导出现有配置文件 `/etc/sysconfig/iptables` 或者 `/etc/iptables/rules.v4` 并在启动时重新导入； - 利用第三方软件如 `firewalld` 来代替传统方式管理防火墙规则[^4]。 #### 连接追踪超限错误 当观察到日志中有大量关于 conntrack 表满溢的消息时，这表明系统正在遭遇过多的同时建立的新连接请求超过了默认容量限制。此时应该考虑调整参数 `net.netfilter.nf_conntrack_max` 及关联的时间窗口大小 `net.netfilter.nf_conntrack_tcp_timeout_established` ，从而允许更大的并发量或是更长时间保持记录条目不变[^5]。 ```bash sysctl -w net.netfilter.nf_conntrack_max=1048576 echo "net.netfilter.nf_conntrack_max = 1048576" >> /etc/sysctl.conf ``` 以上命令临时修改最大连接数至 1,048,576，并将其永久写入配置文件以便重启后继续生效。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值