The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Разница между -m state --state и -m conntrack --cstate"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Информационная безопасность (Linux iptables, ipchains / Linux)
Изначальное сообщение [ Отслеживать ]

"Разница между -m state --state и -m conntrack --cstate"  +/
Сообщение от flosisa (ok) on 03-Фев-15, 13:07 
Привет, я хотел бы узнать какая разница между опциями iptables "-m state --state" и "-m conntrack --ctstate"(NEW,...). Ну как я знаю, nf_conntrack это один из компонентов netfilter'a и работает на 3,4 и 7-ом уровне. А в чем разница, простым state'ом и conntrack?
1. -m state --state (NEW,ESTABLISHED,...)
2. -m conntrack --ctstate" (NEW,ESTABLISHED,DNAT,...)

2-ой вопроc:
Разница между ESTABLISHED и RELATED? У меня с ESTABLISHED'ом все безупречно работает, а зачем нужно состояние RELATED? Только для протоколов наподобие ICMP?

3-ый вопрос:
Что означает -A FORWARD -m conntrack --ctstate DNAT? Это значит пропускать(forward'ить) пакет, только если он DNAT'ился(прошел через DNAT), так? Например, не происходило forwarding если пакет SNAT'ился.

Заранее, всем спасибо за ответы.

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Разница между -m state --state и -m conntrack --cstate"  +/
Сообщение от Andrey Mitrofanov on 03-Фев-15, 13:26 
1
http://unix.stackexchange.com/questions/108169/what-is-the-d...

Говорят, одно и то же, но формального "-m state" устаревшим не объявляли.
См.также man iptables -- там наборы состояний чуть разные =модули выдают информацию чуть в разных разрезах.

2
man iptables

3
> Это значит пропускать

Во-первых, в показанной строке нет _действия, только условие.
Во-вторых, на мой взгляд, в man iptables всё написано.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Разница между -m state --state и -m conntrack --cstate"  +/
Сообщение от greenwar (ok) on 15-Мрт-15, 17:21 
>[оверквотинг удален]
> 1. -m state --state (NEW,ESTABLISHED,...)
> 2. -m conntrack --ctstate" (NEW,ESTABLISHED,DNAT,...)
> 2-ой вопроc:
> Разница между ESTABLISHED и RELATED? У меня с ESTABLISHED'ом все безупречно работает,
> а зачем нужно состояние RELATED? Только для протоколов наподобие ICMP?
> 3-ый вопрос:
> Что означает -A FORWARD -m conntrack --ctstate DNAT? Это значит пропускать(forward'ить)
> пакет, только если он DNAT'ился(прошел через DNAT), так? Например, не происходило
> forwarding если пакет SNAT'ился.
> Заранее, всем спасибо за ответы.

https://ru.wikibooks.org/wiki/Iptables#.D0.9A.D1.80.D0.B8.D1...

> Кроме критерия conntrack, стоит упомянуть и его идеологического предшественника — критерий state. Изначально для определения состояния соединения использовался именно он, то есть вместо -m conntrack --ctstate ESTABLISHED,RELATED использовалось -m state --state ESTABLISHED,RELATED. Подобные формулировки до сих пор сохраняются во многих руководствах по iptables. Однако в настоящее время критерий state считается устаревшим, и разработчики iptables рекомендуют использовать вместо него критерий conntrack. Также заметим, что критерий conntrack обладает более широкими возможностями, нежели state, и позволяет использовать дополнительную информацию о соединении, в частности, состояние самого соединения (ctstatus), факт применения к нему трансляции адресов, тайм-аут для «повисших» соединений (ctexpire) и т. п.

разница... ну например в NEW conntrack считает только первый SYN-пакет именно NEW, а все остальные уже установленным соединением
в принципе правильно, чо, экономия ресурсов же

про всё остальное там тоже есть

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру