Natrafiłem na następujący plik konfiguracyjny:
# Generated by iptables-save v1.3.1 on Sun Apr 23 06:19:53 2006
*filter
:INPUT ACCEPT [368:102354]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [92952:20764374]
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
-A INPUT -j DROP
COMMIT
# Completed on Sun Apr 23 06:19:53 2006
Czy ktoś wie co [368:102354]
, [0:0]
a [92952:20764374]
średnia?
0
jeśli chcesz zapisać konfigurację w pliku. To nie zaszkodzi, ale oczywiście zresetuje wartości po przywróceniu.Odpowiedzi:
Te dwie wartości odpowiadają liczbie pakietów i liczbie bajtów , do których dotychczas stosowano domyślną politykę łańcucha (szczegółowe informacje można znaleźć w tej drugiej odpowiedzi ).
Według samego kodu źródłowego
iptables-save.c
:Struktura
xt_counters
jest zdefiniowana następującoinclude/linux/netfilter/x_tables.h
:Zauważ też, że łańcuchy, które nie są wbudowane, są i
[0:0]
tak oznaczone (to dziwactwo w kodzie).źródło
Te dwie liczby to odpowiednio liczba pakietów i bajtów, do których zastosowano zasadę domyślną (a nie całkowita liczba pakietów / bajtów widocznych w łańcuchu). Są one określone razem z domyślną polityką dla łańcucha - dzieje się tak dlatego, że logicznie do nich należą, a nie dlatego, że nie było lepszego miejsca.
Domyślną zasadą jest akcja wykonywana na pakiecie, gdy żadna reguła z celem końcowym nie jest dopasowana. Docelowy cel to taki, który zatrzymuje dalsze przetwarzanie reguł w bieżącym łańcuchu najwyższego poziomu. Na przykład cele takie jak ACCEPT lub DROP kończą się, a LOG nie.
W przykładowej konfiguracji w tym pytaniu ostatnią regułą w łańcuchu INPUT jest DROP wszystko, więc domyślna polityka nigdy nie zostanie zastosowana, a liczniki zwykle powinny pozostać na 0. Wartości niezerowe (368 pakietów, 102354 bajtów) można wyjaśnić przez ruch, który miał miejsce przed dodaniem reguły „drop-all” do łańcucha.
Wbudowane łańcuchy nie mogą mieć domyślnej polityki z definicji, ponieważ domyślną czynnością jest zawsze powrót do łańcucha, z którego zostały wywołane, dlatego zawsze mają wartości licznika 0.
źródło
iptables-save
i otrzymałem::INPUT DROP [0:0]
i:OUTPUT ACCEPT [249529:173953830]
. Myślę więc, że osoba, która utworzyła plik konfiguracyjny, nie zwróciła uwagi na te liczby. Ale teraz wszystko jest całkiem jasne.