Score:0

คำสั่งซื้อตัวเลือก iptables มีความสำคัญในกฎหรือไม่?

ธง in

มีความแตกต่างหรือไม่เมื่อ ตัวเลือก คำสั่งมีการเปลี่ยนแปลงระหว่าง 3 กฎนี้หรือไม่

iptables -A INPUT -p tcp --syn --dport 9000 -m set --match-set someSet src -j ยอมรับ
iptables -A INPUT -m set --match-set someSet src --dport 9000 -p tcp --syn -j ยอมรับ
iptables -A INPUT --dport 9000 -p tcp --syn -m set --match-set someSet src -j ยอมรับ

การข้ามผ่านเป็นไปตามคำสั่งตัวเลือกในกฎหรือไม่?

ยกตัวอย่างกฎนี้:

iptables -A INPUT -p tcp --syn --dport 9000 -m set --match-set someSet src -j ยอมรับ

หมายความว่า iptables จะมองหาเป็นอันดับแรก ซิน จากนั้นตรวจสอบพอร์ตปลายทางเท่ากับ 9000 และดูว่าตรงกับชุดสุดท้ายหรือไม่

และในตัวอย่างนี้:

iptables -A INPUT -m set --match-set someSet src --dport 9000 -p tcp --syn -j ยอมรับ

หมายความว่า iptables ค้นหาการจับคู่ในชุดก่อนจากนั้นตรวจสอบว่าพอร์ตปลายทางเท่ากับ 9000 และค้นหาครั้งสุดท้าย ซิน?

แม้ว่าทั้งหมดจะให้ผลลัพธ์เหมือนกันเมื่อได้รับการยอมรับ แต่อาจได้รับการปรับปรุงให้เหมาะสมยิ่งขึ้นเมื่อถูกปฏิเสธหากคำสั่งซื้อเกิดขึ้นใน iptables ตัวเลือก.

Score:0
ธง in

ลำดับของตัวเลือกส่วนใหญ่ไม่เกี่ยวข้อง

คุณสามารถยืนยันสิ่งนี้ได้โดยบันทึกกฎ คุณจะเห็นว่ามันจบลงด้วยวิธีเดียวกัน

ลำดับตรรกะจะเป็น: โปรโตคอล พอร์ต สถานะ โมดูล

iTaMaR avatar
in flag
จะเกิดอะไรขึ้นถ้าชุดมี ip หลายล้านรายการ.. คุณไม่สามารถคาดหวังประสิทธิภาพได้เหมือนกันหากการแวะผ่านจะเริ่มต้นจากชุดที่ตรงกันและตกอยู่กับชุดอื่นๆ
in flag
ชุดเป็นโมดูล คาดว่าจะตรวจสอบล่าสุด หากคุณต้องการเพิ่มประสิทธิภาพด้วยตัวคุณเอง ให้ใช้กฎแยกต่างหากในการส่งทราฟฟิกไปยังเชนใหม่ ซึ่งจะส่งผลในส่วนถัดไปของการจับคู่ แต่ขอเตือนไว้ก่อนว่าอาจไม่ใช่การเพิ่มประสิทธิภาพเลย
iTaMaR avatar
in flag
ฉันรู้ว่าเชนจะทำเคล็ดลับได้ แต่ฉันควรเพิ่มกฎให้น้อยที่สุดเท่าที่จะทำได้ ฉันจะกำหนดลำดับตัวกรองในกฎเดียวได้อย่างไร
Ginnungagap avatar
gu flag
@iTaMaR คุณมีแนวโน้มที่จะพยายามเพิ่มประสิทธิภาพบางอย่างที่ไม่สำคัญอีกครั้ง คุณได้เปรียบเทียบสิ่งใดสิ่งหนึ่งจริง ๆ ก่อนที่จะพยายามเพิ่มประสิทธิภาพที่ซับซ้อนมากเกินไปหรือไม่? `ipset` ได้รับการออกแบบมาเพื่อรองรับ IP จำนวนมากและพยายามค้นหาเวลาคงที่ของ IP โดยไม่คำนึงว่าจำนวน IP ในชุดจะเป็นอย่างไร ดังนั้นการดำเนินการจึงค่อนข้างถูก
iTaMaR avatar
in flag
@Ginnungagap ไม่มีอัลกอริทึมใดสำหรับชุดใดที่สามารถจับคู่การเปรียบเทียบ 16 บิตด้วยกันหรือจับคู่ `opcode` ได้ ไม่ว่ามันจะมีประสิทธิภาพเพียงใดก็ไม่มีเวทมนตร์!!! และคุณรู้ไหมว่าเหตุผลทางวิทยาศาสตร์ไม่ใช่การเปรียบเทียบ ทั้งหมดที่ฉันถามก็คือ `iptables` กรอง 'กฎ' อย่างไร และคำสั่งนั้นเกิดขึ้นได้อย่างไร..

โพสต์คำตอบ

คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา