iptables本身沒有TRACK target，以至于你不能指定需要被conntrack模塊處理的數(shù)據(jù)包白名單，比如我想實現(xiàn)：除了來源IP是192.168.10.0/16網(wǎng)段的需要被track之外，其它的都不要track。
       當然，你可以通過下面的配置實現(xiàn)我的需求：
iptables -t raw -A PREROUTING ! -s 192.168.10.0/16 -j NOTRACK
...反向NOTRACK類似，-s換-d
如果更復(fù)雜一點呢？比如除了來源IP限制之外，還有協(xié)議，端口等。
       熟悉訪問控制列表設(shè)計的都知道，ACL的“與”操作可以在單條規(guī)則中實現(xiàn)，而“或”操作則由多條規(guī)則實現(xiàn)，因此應(yīng)用于上述隨便復(fù)雜的需求，都是可以完成 的，甚至拋開“單條與/多條或”原則，僅僅是擴充ipset也可以很好配置出來任意復(fù)雜的規(guī)則滿足任意復(fù)雜的需求。
       但是有沒有一個更簡單的辦法？當然有，實現(xiàn)一個和NOTRACK對立的target，即TRACK target即可。它的實現(xiàn)就是清除已經(jīng)附著在skb上的untracked conn。這樣當我需要添加track白名單時，我可以這么做：
iptables -t raw -A PREROUTING -j NOTRACK
iptables -t raw -A PREROUTING $mt1 $mt2 ... -j TRACK # 單條的matches AND操作
...# 多條的 matches OR操作
iptables -t raw -A PREROUTING $mt''1 $mt''2 ... -j TRACK
OK，就這樣，很簡單。 
       不過iptables沒有內(nèi)置OR操作是完全符合ACL理念的，該理念中，如果想實現(xiàn)或，就配置多條規(guī)則，事實上大多數(shù)的鑒權(quán)系統(tǒng)都是如此的理念?？纯碈 語言的邏輯判斷會發(fā)現(xiàn)同樣的理念，如果是AND操作，逐條語句便和順序無關(guān)，因為最終必須將每個語句全部計算一遍，如果是OR操作，計算效率就和順序有關(guān) 了，只要到達“真”值，計算就可以結(jié)束了，當然內(nèi)部細節(jié)還是和實現(xiàn)相關(guān)的。所以，對于AND操作，由于它是閉合的，一條語句就可以囊括進去，但是OR卻是 不閉合的，你不知道計算將在哪里結(jié)束。

創(chuàng)新互聯(lián)專業(yè)為企業(yè)提供茂名網(wǎng)站建設(shè)、茂名做網(wǎng)站、茂名網(wǎng)站設(shè)計、茂名網(wǎng)站制作等企業(yè)網(wǎng)站建設(shè)、網(wǎng)頁設(shè)計與制作、茂名企業(yè)網(wǎng)站模板建站服務(wù)，10年茂名做網(wǎng)站經(jīng)驗，不只是建網(wǎng)站，更提供有價值的思路和整體網(wǎng)絡(luò)服務(wù)。

網(wǎng)頁名稱：iptables配置conntrack的NOTRACK和TRACK
文章分享：http://chinadenli.net/article48/giepep.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供面包屑導(dǎo)航、網(wǎng)站收錄、手機網(wǎng)站建設(shè)、定制開發(fā)、品牌網(wǎng)站建設(shè)、微信公眾號

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)