"Oskar Andreasson. Iptables Tutorial 1.1.19 " - читать интересную книгу автора

6.4.3.6. Критерий State

Критерий state используется совместно с кодом трассировки соединений и
позволяет нам получать информацию о признаке состояния соединения, что
позволяет судить о состоянии соединения, причем даже для таких протоколов
как ICMP и UDP. Данное расширение необходимо загружать явно, с помощью
ключа -m state. Более подробно механизм определения состояния соединения
обсуждается в разделе Механизм определения состояний .

Таблица 6-13. Ключи критерия State
(Ключ - Пример - Описание)

Ключ: -state
Пример: iptables -A INPUT -m state -state RELATED,ESTABLISHED
Описание: Проверяется признак состояния соединения (state) На
сегодняшний день можно указывать 4 состояния: INVALID, ESTABLISHED, NEW и
RELATED. INVALID подразумевает, что пакет связан с неизвестным потоком или
соединением и, возможно содержит ошибку в данных или в заголовке. Состояние
ESTABLISHED указывает на то, что пакет принадлежит уже установленному
соединению через которое пакеты идут в обеих направлениях. Признак NEW
подразумевает, что пакет открывает новое соединение или пакет принадлежит
однонаправленному потоку. И наконец, признак RELATED указывает на то что
пакет принадлежит уже существующему соединению, но при этом он открывает
новое соединение Примером тому может служить передача данных по FTP, или
выдача сообщения ICMP об ошибке, которое связано с существующим TCP или UDP
соединением. Замечу, что признак NEW это не то же самое, что установленный
бит SYN в пакетах TCP, посредством которых открывается новое соединение, и,
подобного рода пакеты, могут быть потенциально опасны в случае, когда для
защиты сети вы используете один сетевой экран. Более подробно эта проблема
рассматривается ниже в главе Механизм определения состояний.

6.4.3.7. Критерий TOS

Критерий TOS предназначен для проведения проверки битов поля TOS. TOS -
Type Of Service - представляет собой 8-ми битовое, поле в заголовке
IP-пакета. Модуль должен загружаться явно, ключом -m tos.
От переводчика: Далее приводится описание поля TOS, взятое не из
оригинала, поскольку оригинальное описание я нахожу несколько туманным.
Данное поле служит для нужд маршрутизации пакета. Установка любого бита
может привести к тому, что пакет будет обработан маршрутизатором не так как
пакет со сброшенными битами TOS. Каждый бит поля TOS имеет свое значение. В
пакете может быть установлен только один из битов этого поля, поэтому
комбинации не допустимы. Каждый бит определяет тип сетевой службы:
Минимальная задержка Используется в ситуациях, когда время передачи
пакета должно быть минимальным, т.е., если есть возможность, то
маршрутизатор для такого пакета будет выбирать более скоростной канал.
Например, если есть выбор между оптоволоконной линией и спутниковым каналом,
то предпочтение будет отдано более скоростному оптоволокну.
Максимальная пропускная способность Указывает, что пакет должен быть
переправлен через канал с максимальной пропускной способностью. Например