[问题求助]新年快乐。问一个iptables通过自定义chain来减少规则数目的问题。 [复制链接]

我的linux ip.tables防火墙对用.户通过认证实现收费上网的功能。          婚庆
用户认证后， 在防火墙中插入.规则来允许用户上网。规.则有7条。虚拟主机
我的问题是：如果我有很.多的用.户，比如1000个用户，那规则总数就是7000条。--- 印刷
防.火墙效率就有问题。规则如下：健康
nat 表
-A PREROUTING -s 10.255..255.1 -i eth1 -j COUNTE.R.
-A. PREROUTING -s 10.255.255.1 -i eth1 -p tcp -m tcp --.dport 443 -j ACCEPT.
-.A PREROUTING -s 10..255..255.1 -i eth1 -p tcp -m tcp --dport 25 -j REDIRECT --to-ports 25--- 印刷
-A PREROUTING -.s 10.255.255.1 -i eth1 -p tcp -m t.cp --dport 80 -j REDIRECT --to-ports 8.028              乙肝

filter表
-A IN.PUT -s 10.255.255.1 -i eth1 -p tcp -m tcp --d.port 25 -j LOCAL学习
-A FORWARD -s 10.255.255.1 -i eth.1 -o eth0 -j. ACKED          婚庆
-A COUNTER .-d 10.255.255.1 .-o eth1 -j ACCEPT             汽车

其中COUNTER，LOC.AL.和ACKED是自定义的chian。10.255.255.1是客户的IP。             汽车
eth1是内网int.er.face，eth0是外网interface。<性病>

我的想法是能否自定义.一个表或链， 如果用户通过认证后，就redirect用户到这个自定.义的链中。.
也就是说， 把上面7条规.则中的-.s 10.255.255.1（-d 10.255.255.1）都去掉。教育


请问这可行吗？


谢谢指教。

QUOTE:原帖由 ssffzz1 于 2008-1-2 16:05 发表
规则减少了几条，可是模块有增加了。这种方法也是得不偿失的。模块间的调用及处理也是很耗资源的。



可不是减少几条

他原来是每个IP有7条，而用set模块后，除了counter的那两条规则不能聚合外，其他的规则都可以把-s IP去掉，而聚合成
-m set --set setname src  这样不管有多少IP，对于同一类规则（只是源IP或者目的不同），就可以聚合成一条规则
同样的
-d IP  也可以写成 -m set --set setname dst  来聚合

因此，IP越多，能够通过聚合而减少的规则条数就越多

规则减少了几条，可是模块有增加了。这种方法也是得不偿失的。模块间的调用及处理也是很耗资源的。

ipset
http://ipset.netfilter.org/


account扩展匹配
http://www.svn.barbara.eu.org/ipt_account/wiki
http://www.barbara.eu.org/~quaker/ipt_account/index.html.en

ACCOUNT目标匹配
http://www.intra2net.com/de/produkte/opensource/ipt_account/

[ 本帖最后由 dzb_01 于 2008-1-2 12:00 编辑 ]

QUOTE:原帖由 springwind426 于 2008-1-2 11:03 发表
用set模块吧

把经过认证的用户的IP添加到set中，然后
-A PREROUTING -s 10.255.255.1 -i eth1 -p tcp -m tcp --dport 443 -j ACCEPT
-A PREROUTING -s 10.255.255.1 -i eth1 -p tcp -m tcp --dport 25 -j  ...



请问什么是set模块?

在网上没有找到相关资料.

谢谢.

用set模块吧

把经过认证的用户的IP添加到set中，然后
-A PREROUTING -s 10.255.255.1 -i eth1 -p tcp -m tcp --dport 443 -j ACCEPT
-A PREROUTING -s 10.255.255.1 -i eth1 -p tcp -m tcp --dport 25 -j REDIRECT --to-ports 25
-A PREROUTING -s 10.255.255.1 -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8028

-A INPUT -s 10.255.255.1 -i eth1 -p tcp -m tcp --dport 25 -j LOCAL
-A FORWARD -s 10.255.255.1 -i eth1 -o eth0 -j ACKED

都可以整合

但是，对于counter这样的，还是需要一个IP2条规则的（或者，你可以尝试使用ACCOUNT这个扩展）

应该能够大幅度减少规则的条数

自建立链不能跨表

自己顶一下。

请问有办法把我上面的7条规则放到一条自定义链中吗？

有点理不清头绪了。

谢谢。

QUOTE:原帖由 ssffzz1 于 2007-12-29 07:56 发表
1 你说的用跳转的方法也不能提高多少效率.最根本的还是优化防火墙规则.减少条目.



谢谢回复.

我就是希望用跳转的办法来减少规则数目.

目前还没有想出什么好主意来.

1 你说的用跳转的方法也不能提高多少效率.最根本的还是优化防火墙规则.减少条目.