привет и добро пожаловать снова, в этой лекции мы погрузимся в брандмауэры с отслеживанием состояния.
netfilter имеет модуль, называемый контрактом, который позволяет нам проверять и ограничивать сетевые
подключения с помощью метода, называемого отслеживанием подключений, отслеживание подключений относится к
возможности сохранения информации о состоянии подключения в памяти брандмауэры таблиц, которые делают это
, известны как с отслеживанием состояния и намного более безопасны, чем их аналоги без отслеживания состояния или на основе пакетов.Решение
об отбрасывании или приеме пакета больше не принимается на основе значений в заголовках
пакетов, таких как IP-адреса источника или назначения или порты, но в отношении пакета
с другими пакетами для пакета определены следующие состояния: новый пакет - это
первый пакет любого соединения, это фактически пакет, запрашивающий новое соединение, например,
пакет tcp с набором synflex или пакетами первого пакета эхо-запроса icmp в установленном состоянии
являются те, которые уже являются частью существующего соединения, все пакеты соединение,
начинающееся со второго пакета и до тех пор, пока последний не будет в установленном состоянии, связанными пакетами
являются те, которые запрашивают новое соединение, но уже являются частью существующего соединения,
например, передача данных ftp или ошибка icmp в целом, рекомендуется принять этот пакет
недопустимый пакет не является частью какого-либо соединения в таблице отслеживания соединений, эти пакеты не могут
быть идентифицированы ни в каком состоянии, как правило, рекомендуется отбросить все в этом состоянии, а последнее
состояние называется невыполненным, и оно не так часто используется кратко если пакет отмечен в таблице rat
с целью no track, то этот пакет будет отображаться как неотслеживаемый в конечном автомате,
обратите внимание, что вы можете использовать функцию отслеживания соединений iptables
с отслеживанием состояния с любым сетевым протоколом, даже если сам протокол не имеет состояния, например в качестве udp или icmp
для сопоставления пакетов на основе их состояния используйте минус m состояние минус минус состояние, а затем
записанные значения пакетов, разделенных запятыми прописными буквами в этом примере мы принимаем входящие
пакеты, если они уже являются частью существующего соединения другое правило или политика
входной цепочки может отбросить первый пакет соединения, который находится в новом состоянии, это означает,
что хост может подключиться в любой пункт назначения с использованием любого протокола, но никому не разрешено подключаться
к службам, работающим на хосте, это было просто введение в межсетевые экраны с отслеживанием состояния,
в следующей лекции мы увидим реальный пример того, как настроить межсетевой экран с отслеживанием состояния с использованием таблиц