форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Информационная безопасность (Linux iptables, ipchains / Linux)
Изначальное сообщение		[ Отслеживать ]

"Разница между -m state --state и -m conntrack --cstate"	+/–
Сообщение от flosisa (ok) on 03-Фев-15, 13:07
Привет, я хотел бы узнать какая разница между опциями iptables "-m state --state" и "-m conntrack --ctstate"(NEW,...). Ну как я знаю, nf_conntrack это один из компонентов netfilter'a и работает на 3,4 и 7-ом уровне. А в чем разница, простым state'ом и conntrack? 1. -m state --state (NEW,ESTABLISHED,...) 2. -m conntrack --ctstate" (NEW,ESTABLISHED,DNAT,...) 2-ой вопроc: Разница между ESTABLISHED и RELATED? У меня с ESTABLISHED'ом все безупречно работает, а зачем нужно состояние RELATED? Только для протоколов наподобие ICMP? 3-ый вопрос: Что означает -A FORWARD -m conntrack --ctstate DNAT? Это значит пропускать(forward'ить) пакет, только если он DNAT'ился(прошел через DNAT), так? Например, не происходило forwarding если пакет SNAT'ился. Заранее, всем спасибо за ответы.
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Разница между -m state --state и -m conntrack --cstate"	+/–
Сообщение от Andrey Mitrofanov on 03-Фев-15, 13:26
1 http://unix.stackexchange.com/questions/108169/what-is-the-d... Говорят, одно и то же, но формального "-m state" устаревшим не объявляли. См.также man iptables -- там наборы состояний чуть разные =модули выдают информацию чуть в разных разрезах. 2 man iptables 3 > Это значит пропускать Во-первых, в показанной строке нет _действия, только условие. Во-вторых, на мой взгляд, в man iptables всё написано.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Разница между -m state --state и -m conntrack --cstate"	+/–
Сообщение от greenwar (ok) on 15-Мрт-15, 17:21
>[оверквотинг удален] > 1. -m state --state (NEW,ESTABLISHED,...) > 2. -m conntrack --ctstate" (NEW,ESTABLISHED,DNAT,...) > 2-ой вопроc: > Разница между ESTABLISHED и RELATED? У меня с ESTABLISHED'ом все безупречно работает, > а зачем нужно состояние RELATED? Только для протоколов наподобие ICMP? > 3-ый вопрос: > Что означает -A FORWARD -m conntrack --ctstate DNAT? Это значит пропускать(forward'ить) > пакет, только если он DNAT'ился(прошел через DNAT), так? Например, не происходило > forwarding если пакет SNAT'ился. > Заранее, всем спасибо за ответы. https://ru.wikibooks.org/wiki/Iptables#.D0.9A.D1.80.D0.B8.D1... > Кроме критерия conntrack, стоит упомянуть и его идеологического предшественника — критерий state. Изначально для определения состояния соединения использовался именно он, то есть вместо -m conntrack --ctstate ESTABLISHED,RELATED использовалось -m state --state ESTABLISHED,RELATED. Подобные формулировки до сих пор сохраняются во многих руководствах по iptables. Однако в настоящее время критерий state считается устаревшим, и разработчики iptables рекомендуют использовать вместо него критерий conntrack. Также заметим, что критерий conntrack обладает более широкими возможностями, нежели state, и позволяет использовать дополнительную информацию о соединении, в частности, состояние самого соединения (ctstatus), факт применения к нему трансляции адресов, тайм-аут для «повисших» соединений (ctexpire) и т. п. разница... ну например в NEW conntrack считает только первый SYN-пакет именно NEW, а все остальные уже установленным соединением в принципе правильно, чо, экономия ресурсов же про всё остальное там тоже есть
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема