iptables匹配statistic

statistic匹配帮助信息如下。

# iptables -m statistic -hstatistic match options:--mode mode                    Match mode (random, nth)random mode:
[!] --probability p              Probabilitynth mode:
[!] --every n                    Match every nth packet--packet p                      Initial counter value (0 <= p <= n-1, default 0)

如下策略配置，使用nth模式，每三个报文中丢弃第二个报文（报文索引由0开始）。

# iptables -A INPUT -s 192.168.1.105 -p icmp -m statistic --mode nth --every 3 --packet 1 -j DROP
#
# iptables -L -v -n
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)pkts bytes target     prot opt in     out     source               destination         0     0 DROP       icmp --  *      *       192.168.1.105        0.0.0.0/0            statistic mode nth every 3 packet 1

如下策略，对于源自192.168.1.105的ICMP报文，按照50%的概率执行丢弃。

# iptables -A INPUT -s 192.168.1.105 -p icmp -m statistic --mode random --probability 0.5 -j DROP
#
# iptables -L -v -n
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)pkts bytes target     prot opt in     out     source               destination         0     0 DROP       icmp --  *      *       192.168.1.105        0.0.0.0/0            statistic mode random probability 0.50000000000

statistic匹配

函数xt_register_match注册匹配结构xt_statistic_mt_reg。

static struct xt_match xt_statistic_mt_reg __read_mostly = {.name       = "statistic",.revision   = 0,.family     = NFPROTO_UNSPEC,.match      = statistic_mt,.checkentry = statistic_mt_check,.destroy    = statistic_mt_destroy,.matchsize  = sizeof(struct xt_statistic_info),.usersize   = offsetof(struct xt_statistic_info, master),.me         = THIS_MODULE,
};
static int __init statistic_mt_init(void)
{return xt_register_match(&xt_statistic_mt_reg);

配置检查函数如下，检查策略模式的合法性，分配statistic的私有结构xt_statistic_priv。

static int statistic_mt_check(const struct xt_mtchk_param *par)
{struct xt_statistic_info *info = par->matchinfo;if (info->mode > XT_STATISTIC_MODE_MAX ||info->flags & ~XT_STATISTIC_MASK)return -EINVAL;info->master = kzalloc(sizeof(*info->master), GFP_KERNEL);if (info->master == NULL)return -ENOMEM;atomic_set(&info->master->count, info->u.nth.count);

匹配判断函数如下，对于random模式，判断取得的随机值是否小于概率值probability，这里的probability并不是命令行的设置值，而是在iptables中进行了转换（乘以0x80000000），对于以上设置的概率0.5，iptables将probability设置为（0x80000000*0.5），即probability位于(prandom_u32() & 0x7FFFFFFF)的中心位置。

static bool
statistic_mt(const struct sk_buff *skb, struct xt_action_param *par)
{const struct xt_statistic_info *info = par->matchinfo;bool ret = info->flags & XT_STATISTIC_INVERT;int nval, oval;switch (info->mode) {case XT_STATISTIC_MODE_RANDOM:if ((prandom_u32() & 0x7FFFFFFF) < info->u.random.probability)ret = !ret;break;

对于nth模式，在函数statistic_mt_check中将master->count初始化为（every - packet的差值），所以对于首次匹配，count再增加packet数量的计数，就可匹配。对于之后的匹配，计数都是every数量的报文。

    case XT_STATISTIC_MODE_NTH:do {oval = atomic_read(&info->master->count);nval = (oval == info->u.nth.every) ? 0 : oval + 1;} while (atomic_cmpxchg(&info->master->count, oval, nval) != oval);if (nval == 0)ret = !ret;break;}return ret;

内核版本 5.10

iptables匹配statistic相关推荐

防火墙之 iptables 匹配条件讲解
1 概述 iptables命令中,需要根据匹配的条件作出相应的动作,本文将结合例子,讲解匹配条件匹配条件分为基本和扩展的条件基本:通用的,PARAMETERS,无需加载模块,由iptables ...
iptables匹配multiport
multiport匹配帮助信息如下.multiport有三个选项.其中,–source-port(简写–sports)用于指定源端口,多个源端口使用逗号分隔,当指定源端口范围时,使用分号表示区间(po ...
iptables匹配iprange
iprange匹配帮助信息如下. iprange match options: [!] --src-range ip[-ip] Match source IP in the specified ran ...
iptables匹配功能length
用于匹配报文特定长度,或者范围,这里的报文长度指的是4层数据的长度,如TCP/UDP/ICMP等.以下仅允许数据包小于100字节的ping请求数据进入. # iptables -I INPUT -p ...
iptables匹配connlimit限制并发连接数量
以下规则将每个IP的最大并发连接数量控制在5个,使用connlimit-above或者connlimit-upto都可实现. # iptables -I INPUT -p tcp --syn --dp ...
iptables（四）iptables匹配条件总结之一
经过前文的总结,我们已经能够熟练的管理规则了,但是我们使用过的"匹配条件"少得可怜,之前的示例中,我们只使用过一种匹配条件,就是将"源地址"作为匹配条件. 那么 ...
iptables匹配quota
quota匹配帮助信息如下. # iptables -m quota -h quota match options: [!] --quota quota quota (bytes) 如下,当主机192 ...
iptables匹配ttl
TTL匹配帮助信息如下,可判断相等,大于和小于三种关系. # iptables --match ttl -h ttl match options: [!] --ttl-eq value Match t ...
iptables之xtables_addons浅度解析
xtables_addons 1.46的几个特性是比较有意思,本文不会列出所有的特性,仅仅针对少数几个来分析.也不会给出太具体的配置,因为这些配置都可以从manual上得到或者被google到,以下所 ...
K8S kube-proxy iptables 原理分析
Precondition 什么是 Kube Proxy Kube Proxy 原理部署环境搭建一个GuestBook 例子分析iptables 1. 创建iptables实现外网通过nodePo ...

iptables匹配statistic

statistic匹配

iptables匹配statistic相关推荐

最新文章

热门文章