"Oskar Andreasson. Iptables Tutorial 1.1.19 " - читать интересную книгу автора

соединение", т.е. все пакеты с установленными флагами FIN или ACK.

Критерий: -tcp-option
Пример: iptables -p tcp -tcp-option 16
Описание: Удовлетворяющим условию данного критерия будет будет
считаться пакет, TCP параметр которого равен заданному числу. TCP Option -
это часть заголовка пакета. Она состоит из 3 различных полей. Первое 8-ми
битовое поле содержит информацию об опциях, используемых в данном
соединении. Второе 8-ми битовое поле содержит длину поля опций. Если
следовать стандартам до конца, то следовало бы реализовать обработку всех
возможных вариантов, однако, вместо этого мы можем проверить первое поле и в
случае, если там указана неподдерживаемая нашим брандмауэром опция, то
просто перешагнуть через третье поле (длина которого содержится во втором
поле). Пакет, который не будет иметь полного TCP заголовка, будет сброшен
автоматически при попытке изучения его TCP параметра. Как и ранее,
допускается использование флага инверсии условия !. Дополнительную
информацию по TCP Options вы сможете найти на Internet Engineering Task
Force

6.4.2.2. UDP критерии

В данном разделе будут рассматриваться критерии, специфичные только для
протокола UDP. Эти расширения подгружаются автоматически при указании типа
протокола -protocol udp. Важно отметить, что пакеты UDP не ориентированы на
установленное соединение, и поэтому не имеют различных флагов которые дают
возможность судить о предназначении датаграмм. Получение UDP пакетов не
требует какого либо подтверждения со стороны получателя. Если они потеряны,
то они просто потеряны (не вызывая передачу ICMP сообщения об ошибке). Это
предполагает наличие значительно меньшего числа дополнительных критериев, в
отличие от TCP пакетов. Важно: Хороший брандмауэр должен работать с пакетами
любого типа, UDP или ICMP, которые считаются не ориентированными на
соединение, так же хорошо как и с TCP пакетами. Об этом мы поговорим
позднее, в следующих главах.
Таблица 6-6. UDP критерии
(Критерий - Пример - Описание)

Критерий: -sport, -source-port
Пример: iptables -A INPUT -p udp -sport 53
Описание: Исходный порт, с которого был отправлен пакет. В качестве
параметра может указываться номер порта или название сетевой службы.
Соответствие имен сервисов и номеров портов вы сможете найти в файле
other/services.txt. При указании номеров портов правила отрабатывают
несколько быстрее. однако это менее удобно при разборе листингов скриптов.
Если же вы собираетесь создавать значительные по объему наборы правил,
скажем порядка нескольких сотен и более, то тут предпочтительнее
использовать номера портов. Номера портов могут задаваться в виде интервала
из минимального и максимального номеров, например -source-port 22:80. Если
опускается минимальный порт, т.е. когда критерий записывается
как -source-port :80, то в качестве начала диапазона принимается число 0.
Если опускается максимальный порт, т.е. когда критерий записывается