校盾計(jì)劃課程-防火墻技術(shù)8.1設(shè)置

設(shè)置TTLiptables之mangle表詳解121mangle介紹2mangle表應(yīng)用3TTLTarget及參數(shù)詳解4實(shí)驗(yàn)?zāi)夸沵angle表介紹mangle表主要用于修改數(shù)據(jù)包的TOS（TypeOfService，服務(wù)類型）、TTL（TimeToLive，生存周期）以及為數(shù)據(jù)包設(shè)置Mark標(biāo)記，以實(shí)現(xiàn)Qos(QualityOfService，服務(wù)質(zhì)量)調(diào)整以及策略路由等應(yīng)用，由于需要相應(yīng)的路由設(shè)備支持，因此應(yīng)用并不廣泛。mangle表對(duì)應(yīng)的內(nèi)核模塊為iptable_mangleMangle主要用來(lái)打標(biāo)記,只用于本地3mangle表介紹這個(gè)表有五個(gè)內(nèi)建的鏈：PREROUTING，POSTROUTING，OUTPUT，INPUT和FORWARDPREROUTING在包進(jìn)入防火墻之后、路由判斷之前改變包INPUT在包被路由到本地之后，但在用戶空間的程序看到它之前改變包FORWARD在最初的路由判斷之后、最后一次更改包的目的之前mangle包OUTPUT在確定包的目的之前更改數(shù)據(jù)包POSTROUTING是在所有路由判斷之后注意,mangle表不能做任何NAT，它只是改變數(shù)據(jù)包的TTL，TOS或MARK，而不是其源目地址。4mangle表的用途修改IP包頭的TTL值偽裝系統(tǒng)版本；修改IP包頭的DSCP值或?qū)μ囟ǖ臄?shù)據(jù)包設(shè)置QOS；不同業(yè)務(wù)的傳送優(yōu)先級(jí)、帶寬使用率都可以設(shè)置。為報(bào)文打標(biāo)記。5TTL

TargetTTLTarget可以修改IP頭中TimeToLive字段的值。可以把所有外出包的TimeToLive值都改為一樣的，比如64，這是Linux的默認(rèn)值。有些ISP不允許我們共享連接（他們可以通過(guò)TTL的值來(lái)區(qū)分是不是有多個(gè)機(jī)子使用同一個(gè)連接），如果我們把TTL都改為一樣的值，他們就不能再根據(jù)TTL來(lái)判斷了。TTLTarget只能在mangle表內(nèi)使用。6參數(shù)詳解匹配：--ttl-set示例：iptables-tmangle-APREROUTING-ieth0-jTTL--ttl-set64說(shuō)明：設(shè)置TTL的值7參數(shù)詳解匹配：--ttl-dec示例：iptables-tmangle-APREROUTING-ieth0-jTTL--ttl-dec1說(shuō)明：設(shè)定TTL要被減掉的值，比如--ttl-dec3。假設(shè)一個(gè)進(jìn)來(lái)的包的TTL是53，那么當(dāng)它離開我們這臺(tái)機(jī)子時(shí)，TTL就變?yōu)?9了。8參數(shù)詳解匹配：--ttl-inc示例：iptables-tmangle-APREROUTING-ieth0-jTTL--ttl-inc1說(shuō)明：設(shè)定TTL要被增加的值，比如--ttl-inc4。假設(shè)一個(gè)進(jìn)來(lái)的包的TTL是53，那么當(dāng)它離開我們這臺(tái)機(jī)子時(shí)，TTL是56。9實(shí)驗(yàn)設(shè)置過(guò)濾規(guī)則，以不同方式改變報(bào)文TTL值，觀察規(guī)則應(yīng)用效果10PCIptablesFirewall