Question à propos d'iptables et du comportement des tables

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Question à propos d'iptables et du comportement des tables

redvivi

Bonjour à tous !

Une question me turlupine: Etant un adepte du traffic shaping, je filtre et classe tous mes packets dans la table POSTROUTING:

Code :

iptables -t mangle -A POSTROUTING -o $DEV -p tcp --dport 80 -j MARK --set-mark 21
iptables -t mangle -A POSTROUTING -o $DEV -p tcp --dport 80 -j RETURN

Jusqu'ici tout va bien, les paquets sont traités correctement, par contre, je vérifie les paquets selon certains critères, ici le TOS:

Code :

# Table TOSFIX
iptables -t mangle -N tosfix
iptables -t mangle -A tosfix -p tcp -m length --length 0:512 -j RETURN
iptables -t mangle -A tosfix -m limit --limit 2/s --limit-burst 10 -j RETURN
iptables -t mangle -A tosfix -j TOS --set-tos Maximize-Throughput
iptables -t mangle -A tosfix -j RETURN
...
iptables -t mangle -A POSTROUTING -o $DEV -p tcp -m tcp --tcp-flags SYN,RST,ACK ACK -j ack (première règle qui traite les paquets)

Ma question se trouve au niveau du -j RETURN, une fois qu'un paquet est matché par la première règle de la table TOSFIX par exemple (iptables -t mangle -A tosfix -p tcp -m length --length 0:512 -j RETURN), est-ce que le RETURN signifie que le paquet poursuit son bonhomme de chemin dans la table POSTROUTING (pour être traité par les règles éventuelles qui suivent de la table POSTROUTING, comme celle matchant les paquets à destinatin du port 80 dans mon premier exemple) ou alors le paquet sort immédiatement de la table TOSFIX et POSTROUTING pour sortir sur l'interface réseau?

Merci à tous !
RedVivi

Publicité

o'gure

Modérateur
Multi grognon de B_L

Dans mes souvenirs d'iptables, ton paquet quitte la chaine courante à la première règle qui matches
Suivant comment il est rentré dans la chaine, soit il passe à la chaine suivante, soit si c'est la dernière chaine il est émis (si non filtré) sur la bonne interface en fonction du routage.

Je n'ai pas trop trifouillé avec mangle. Je ne sais donc plus quelle chaine suit

Message cité 1 fois

---------------
Relax. Take a deep breath !

redvivi

o'gure a écrit :

Je suis d'accord avec ce que tu dis, mais est-ce le cas pour une "sous-chaine" de POSTROUTING créee dans mangle ? Ce que je fais (voir code ci-dessous), c'est que je récupère les paquets qui passent dans le POSTROUTING mangle pour l'envoyer vers la chaine TOSFIX ou ACK mangle. Une fois ces paquets traités par les tables TOSFIX et ACK, ils continuent dans le POSTROUTING mangle d'après toi ou sortent vers le POSTROUTING nat (qui suit le POSTROUTING mangle) ?

Code :

iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
...
# Table TOSFIX
iptables -t mangle -N tosfix
iptables -t mangle -A tosfix -p tcp -m length --length 0:512 -j RETURN
iptables -t mangle -A tosfix -m limit --limit 2/s --limit-burst 10 -j RETURN
iptables -t mangle -A tosfix -j TOS --set-tos Maximize-Throughput
iptables -t mangle -A tosfix -j RETURN
# Table ACK
iptables -t mangle -N ack
iptables -t mangle -A ack -m tos ! --tos Normal-Service -j RETURN
iptables -t mangle -A ack -p tcp -m length --length 0:128 -j TOS --set-tos Minimize-Delay
iptables -t mangle -A ack -p tcp -m length --length 128: -j TOS --set-tos Maximize-Throughput
iptables -t mangle -A ack -j RETURN
#Selecting HTTP Traffic
iptables -t mangle -A POSTROUTING -o $DEV -p tcp --dport 80 -j MARK --set-mark 21
iptables -t mangle -A POSTROUTING -o $DEV -p tcp --dport 80 -j RETURN
iptables -t mangle -A POSTROUTING -o $DEV -p tcp --dport 443 -j MARK --set-mark 21
iptables -t mangle -A POSTROUTING -o $DEV -p tcp --dport 443 -j RETURN
# Is our TOS broken? Fix it for TCP ACK and OpenSSH.
iptables -t mangle -A POSTROUTING -o $DEV -p tcp -m tcp --tcp-flags SYN,RST,ACK ACK -j ack
iptables -t mangle -A POSTROUTING -o $DEV -p tcp -m tos --tos Minimize-Delay -j tosfix
# Here we deal with ACK, SYN, and RST packets
# Match SYN and RST packets
iptables -t mangle -A POSTROUTING -o $DEV -p tcp -m tcp --tcp-flags ! SYN,RST,ACK ACK -j MARK --set-mark 20
iptables -t mangle -A POSTROUTING -o $DEV -p tcp -m tcp --tcp-flags ! SYN,RST,ACK ACK -j RETURN
# Match ACK packets
iptables -t mangle -A POSTROUTING -o $DEV -p tcp -m tcp --tcp-flags SYN,RST,ACK ACK -m length --length :128 -m tos --tos Minimize-Delay -j MARK --set-mark 20
iptables -t mangle -A POSTROUTING -o $DEV -p tcp -m tcp --tcp-flags SYN,RST,ACK ACK -m length --length :128 -m tos --tos Minimize-Delay -j RETURN
# Match packets with TOS Minimize-Delay
iptables -t mangle -A POSTROUTING -o $DEV -p tcp -m tos --tos Minimize-Delay -j MARK --set-mark 20
iptables -t mangle -A POSTROUTING -o $DEV -p tcp -m tos --tos Minimize-Delay -j RETURN

o'gure

Modérateur
Multi grognon de B_L

Ah j'avais loupé ta sous-chaine.
Si ton paquet traverse la sous-chaine sans rencontré de règle qui la matche, il retourne dans la chaine "appelante".
S'il rencontre une regle qui la matche je ne me souviens plus

---------------
Relax. Take a deep breath !

o'gure

Modérateur
Multi grognon de B_L

Après relecture du man ca vient du -j return :

Citation :

RETURN means stop traversing this chain and resume at the next rule in the previous (calling) chain. If the end of a built-in chain is reached or a rule in a built-in chain with target RETURN is matched, the target specified by the chain policy determines the fate of the packet.

Donc tu retournes à la chaine appelante, à la règle suivant directement ton -j TOSFIX

Message édité par o'gure le 30-11-2008 à 12:15:17

---------------
Relax. Take a deep breath !

redvivi

Ok super !! Merci pour ces précisions !

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

Question à propos d'iptables et du comportement des tables

Sujets relatifs
Probleme IPTABLES, avec un bridge (application de virtualisation)	petite question pour les chefs de projet
Question concernant Backuppc	probleme iptables -F
iptables et log -résolu-	[RESOLU] Comportement bizarre
Questions à propos du RMI....... urgent..	Taille limite des partitions à 400Go et autre question
Aide avec IPTABLES et OpenVPN	Deux questions à propos des DVD
Plus de sujets relatifs à : Question à propos d'iptables et du comportement des tables

Page générée en 0.102 secondes