您查看的文章来源于http://www.oklinux.cn
Netfilter有一些功能在标准发行的linux内核里面没有包括,例如基于时间的控制、dropped-table、反端口扫描等等。这些功能大部分将来会慢慢加入到linux内核中,但目
都没有经过仔细测试,所以要慎重使用。
要使用这些功能, 请先下载最新的iptables源码。解压后,执行make pending-patches KERNEL_DIR=<>看看你的内核是不是太老了,然后make patch-o-matic,按照提示选择想要安装的新功能。下面是我觉得有用的一些功能:
1. ah-esp 增加两个扩展,允许匹配ipsec包中ah或esp包头中的一段SPI(security parameters index)。
2. ct-netlink 使用户空间程序可以通过netlink获得连接跟踪的状态,并可经由用户空间改变连接状态。这个补丁与其他大多数补丁冲突。
3. dropped-table 加了一个drop表,被drop的包遍历这个表。和其他大部分补丁冲突。
4. ftos 扩展的tos,可以设置tos为0x0到0xff之间的任何值,用于简单的Qos。
5. iplimit 限制每客户到主机或网络的并发连接数。例如:
iptables -p tcp --syn --dport 23 -m iplimit --iplimit-above 2 -j REJECT
(每客户最多两个telnet连接),等效于:
iptables -p tcp --syn --dport 23 -m iplimit ! --iplimit-above 2 -j ACCEPT
限制到每个c类网络最多16个http连接:
iptables -p tcp --syn --dport 80 -m iplimit --iplimit-above 16 --iplimit-mask 24 -j REJECT
6. ipv4options 匹配ip操作,使用该功能可以过滤掉源路由、记录路由、时间戳等ip操作。iptables -m ipv4options –help可以得到详细的帮助。例如: