- •Засоби аналізу та управління мережами методичні вказівки
- •Утиліта traceroute/tracert
- •Утиліта nslookup
- •Послідовність виконання роботи
- •Послідовність виконання роботи
- •Лабораторна Робота №3
- •Стани в просторі користувача
- •Послідовність виконання роботи
- •Послідовність виконання роботи
- •Неявні критерії
- •Icmp критерії
- •Icmp критерії
- •Послідовність виконання роботи
- •Критерій mac
- •Критерій Mark
- •Критерій Multiport
- •Критерий State
- •Критерій tos
- •Критерій ttl
- •Послідовність виконання роботи
- •Послідовність виконання роботи
- •Контрольні запитання
- •Засоби аналізу та управління мережами методичні вказівки
Критерий State
Критерій state використовується з кодом трасування з'єднань і дозволяє отримувати інформацію про ознаку стану з'єднання, що дозволяє оцінити стан з'єднання для таких протоколів як ICMP і UDP. Дане розширення необхідно завантажувати явно, з допомогою ключа -m state.
Ключі критерія State
Ключ |
--state |
Приклад |
iptables -A INPUT -m state --state RELATED,ESTABLISHED |
Опис |
Перевіряється ознака стану з'єднання (state). Можна вказати 4 стани: INVALID, ESTABLISHED, NEW і RELATED. INVALID означає, що пакет зв'язаний з невідомим потоком чи з'єднанням і, можливо містить помилку в даних чи в заголовку. Стан ESTABLISHED означає, що пакет належить встановленому з'єднанню через яке пакети йдуть в обох напрямках. Ознака NEW означає, що пакет відкриває нове з'єднання або пакет належить однонаправленому потоку. Ознака RELATED означає, що пакет належить існуючому з'єднанню, але при цьому він відкриває нове з'єднання, наприклад передача даних по FTP, або видача повідмлення ICMP про помилку, яке зв'язано з існуючим TCP або UDP з'єднанням. Ознака NEW не є тим же самим, що й встановлений біт SYN в пакетах TCP, завдяки яким відкривається нове з'єднання. |
Критерій tos
Критерій TOS призначений для перевірки бітів поля TOS. TOS (Type Of Service) - є 8-ми бітовим полем в заголовку IP-пакета. Модуль необхідно завантажувати явно, ключом -m tos. Кожний біт поля TOS має своє значення. В пакеті може бути встановлено тільки один з бітів цього поля. Кожний біт визначає тип мережевої служби:
Мінімальна затримка Використовується в ситуаціях, коли час передачі пакета має бути мінімальним (маршрутизатор для такого пакета буде вибирати більш швидкий канал).
Максимальна пропускна здатність Означає, що пакет має бути переправлений через канал с максимальною пропускною здатністю.
Максимальна надійність Означає, що пакет має бути переданий через максимально надійний маршрут, щоб уникнути повторної передачі пакета.
Мінімальні затрати Означає, що пакет має бути переданий через найдешевші канали зв'язку.
Звичайний сервіс В даній ситуації все біти поля TOS скинуті. Маршрутизація такого пакета відбувається по замовчуванню.
Ключі критерія TOS
Ключ |
--tos |
Приклад |
iptables -A INPUT -p tcp -m tos --tos 0x16 |
Опис |
Даний критерій призначений для перевірки встановлених бітов TOS. Аргумент критерія може бути представлений десятковим або шістнадцятковим числом, або мнемонічним описом біта: Minimize-Delay 16 (0x10) (Мінімальна затримка), Maximize-Throughput 8 (0x08) (Максимальна пропускна здатність), Maximize-Reliability 4 (0x04) (Максимальна надійність), Minimize-Cost 2 (0x02) (Мінімальні затрати), Normal-Service 0 (0x00) (Звичайний сервіс). |
Критерій ttl
TTL (Time To Live) є числовим полем в IP заголовку. При проходженні чергового маршрутизатора, це число зменшується на 1. Якщо число стає рівним нулю, то відправнику пакета буде передано ICMP повідмлення типу 11 з кодом 0 (TTL equals 0 during transit) або з кодом 1 (TTL equals 0 during reassembly) . Для використання цього критерія необхідно явно завантажувати модуль ключом -m ttl.
Ключі критерія TTL
Ключ |
--ttl |
Приклад |
iptables -A OUTPUT -m ttl --ttl 60 |
Опис |
Виконує перевірку поля TTL на рівність заданому значенню. Цей критерій може бути використаний при налаштуванні локальної мережі, наприклад: для випадків, коли машина локальної мережі не може підключитись до сервера в Інтернеті, або для пошуку троянських програм, або для пошуку машин с неякісною реалізацією стека TCP/IP. |