iptables - выбрать пакет из tcp сессии

[Yaten]

Можно ли средствами iptables выбрать пакет ну допустим 4й отправленный в каждой tcp сессии. Ну и потом, что либо с ним сделать или со всей сессией целиком. Например дропнуть.

 

p.s. надо наверное в софт перенести...

Edited May 1, 2013 by Yaten

[Merridius]

Собственно, дропнув 4й пакет, установленной сессии, вы тем самым только "раззадорите" tcp. Я имею ввиду то, что сервер подумает, что пакет потерялся и "начнется".

Объясните что вы хотите сделать и получить,может есть менее извращенные методы решения проблемы.

[dmvy]

Пишется модуль для iptables, в который сливается весь tcp вот о и считает пакеты и если надо отправляйте tcp res одной из сторон.

[Yaten]

хочу порезать конкретную страничку.

т.е. сделать L7 по выбранному ранее пакету, чтоб не грузить машину общим трафиком 80го порта с конкретного сайта на фильтре L7.

 

Пишется модуль для iptables, в который сливается весь tcp

А стандартного ничего нет? В написании модуля я не силён, пока не силён...

[^rage^]

хочу порезать конкретную страничку.

т.е. сделать L7 по выбранному ранее пакету, чтоб не грузить машину общим трафиком 80го порта с конкретного сайта на фильтре L7.

 

Пишется модуль для iptables, в который сливается весь tcp

А стандартного ничего нет? В написании модуля я не силён, пока не силён...

модуль string может вам помочь. как и ipset.

[Yaten]

L7 я умею делать. Интересует как выбрать конктерный пакет по счету из tcp сессии.

[vitalyb]

man iptables-extensions

connbytes

Match by how many bytes or packets a connection (or one of the two flows constituting the connection) has transferred so far, or by

average bytes per packet.

?

[^rage^]

man iptables-extensions

connbytes

Match by how many bytes or packets a connection (or one of the two flows constituting the connection) has transferred so far, or by

average bytes per packet.

?

 

это о байтах, а не о пакетах.

 

уж лучше тогда смотреть в сторону модуля statistic и --mode nth, там есть [!] --every n

[nuclearcat]

iptables -m connbytes -h

connbytes match options:

[!] --connbytes from:[to]

--connbytes-dir [original, reply, both]

--connbytes-mode [packets, bytes, avgpkt]