Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss

Chains kaskadieren in iptables

7 views
Skip to first unread message

frank

unread,
Apr 10, 2012, 5:12:05 AM4/10/12
to
Hi Leute,

hallo zusammen. Ich möchte bei meinen Linuxrouter (Kernel 2.6.32)
meinen Datentransfer etwas genauer analysieren. Für jeden Service
erstelle ich einen Chain, dessen Paketstatistik ich dann auswerte:

iptables -N web
iptables -A web -j ACCEPT
iptables -N mail
iptables -A web -j ACCEPT
(usw)

iptables -A FORWARD -p tcp -m tcp --dport 80 -j web //ausgehender
traffic web
iptables -A FORWARD -p tcp -m tcp --sport 80 -j web //eingehender
fraffic web
iptables -A FORWARD -p tcp -m tcp --dport 25 -j mail //ausgehender
traffic smtp
iptables -A FORWARD -p tcp -m tcp --sport 25 -j mail //eingehender
fraffic smtp
iptables -A FORWARD -p tcp -m tcp --dport 143 -j mail //ausgehender
traffic imap
iptables -A FORWARD -p tcp -m tcp --sport 143 -j mail //eingehender
fraffic imap
(usw)

Ich möchte nun zusätzlich noch für jeden im LAN (an eth1) befindlichen
Rechner den Traffic messen:

iptables -A FORWARD -s 192.168.0.117 -j ACCEPT //ausgehend PC 117
iptables -A FORWARD -d 192.168.0.117 -j ACCEPT //eingehend PC 117
iptables -A FORWARD -s 192.168.0.118 -j ACCEPT //ausgehend PC 118
iptables -A FORWARD -d 192.168.0.118 -j ACCEPT //eingehend PC 118

Nun bin ich mir nicht sicher, ob der Gedankengang richtig ist, da ja
zuerst die Pakete an Hand des Protokolls in den betreffenden Chain
web / mail geschickt werden und dieser mit ACCEPT beendet wird. Meiner
Meinung nach wird dann FORWARD nicht weiter durchlaufen. Wie könnte
ich das aber realisieren, dass ich sowohl Port- als auch
Adressselektiv zählen kann?

lg
Frank


Bernd Eckenfels

unread,
Apr 10, 2012, 1:52:01 PM4/10/12
to
frank <frank.c...@googlemail.com> wrote:
> Nun bin ich mir nicht sicher, ob der Gedankengang richtig ist, da ja
> zuerst die Pakete an Hand des Protokolls in den betreffenden Chain
> web / mail geschickt werden und dieser mit ACCEPT beendet wird. Meiner
> Meinung nach wird dann FORWARD nicht weiter durchlaufen. Wie könnte
> ich das aber realisieren, dass ich sowohl Port- als auch
> Adressselektiv zählen kann?

Also ich weiss ja nicht ob da IPChains die richtige wahl sind, aber wenn
dann kannst du die hosts einfach in jede der Protokollchains adden. Dann
siehst du pro protokoll/host den Traffic (und musst halt summieren).
Ansonsten kannst du auch statt -j ACCEPT

PS: ich weiss grade nicht was en vouge ist, aber hier ist ein älteres paper
mit ein paar alternativen:
http://kernel.org/doc/ols/2005/ols2005v2-pages-273-278.pdf das auf ulogd2
hinausläuft. Und dann gibts wohl noch nfacct das ganz gut aussieht:
http://www.netfilter.org/projects/nfacct/index.html mit Kernel 3.3.


Gruss
Bernd

Bernd Eckenfels

unread,
Apr 10, 2012, 1:58:47 PM4/10/12
to
Bernd Eckenfels <bernd...@eckenfels.net> wrote:
> Ansonsten kannst du auch statt -j ACCEPT

streiche dieses fragment:) (ich wollte auf -j RETURN raus aber war zu faul
zum testen ob es counted)

Gruss
Bernd

Erhard Schwenk

unread,
Apr 10, 2012, 6:25:15 PM4/10/12
to
-j RETURN ist Dein Freund.

--
Erhard Schwenk

Akkordeonjugend Baden-Württemberg - http://www.akkordeonjugend.de/
APAYA running System - http://www.apaya.net/

frank

unread,
Apr 11, 2012, 12:15:03 PM4/11/12
to
Danke Erhard. Genau das hab ich gesucht, Chain verlassen ohne eine
Weiterführung durch ACCEPT zu unterbinden.
Das war wieder der Wald mit den vielen Bäumen, habs bestimmt 10 mal im
manual gelesen ....

lg
Frank

0 new messages