使用iptables建置Linux 防火墙(8)

　　说明 这个参数比较特殊，用来比对来源埠号和目的埠号相同的封包，设定方式同上。注意：在本范例中，如果来源端口号为 80 但目的地埠号为 110，这种封包并不算符合条件。

　　参数 --icmp-type

　　范例 iptables -A INPUT -p icmp --icmp-type 8

　　说明 用来比对 ICMP 的类型编号，可以使用代码或数字编号来进行比对。请打 iptables -p icmp --help 来查看有哪些代码可以用。

　　参数 -m limit --limit

　　范例 iptables -A INPUT -m limit --limit 3/hour

　　说明 用来比对某段时间内封包的平均流量，上面的例子是用来比对：每小时平均流量是否超过一次 3 个封包。除了每小时平均一次外，也可以每秒钟、每分钟或每天平均一次，默认值为每小时平均一次，参数如后： /second、 /minute、/day。除了进行封包数量的比对外，设定这个参数也会在条件达成时，暂停封包的比对动作，以避免因骇客使用洪水攻击法，导致服务被阻断。

　　参数 --limit-burst

　　范例 iptables -A INPUT -m limit --limit-burst 5

　　说明 用来比对瞬间大量封包的数量，上面的例子是用来比对一次同时涌入的封包是否超过 5 个（这是默认值），超过此上限的封包将被直接丢弃。使用效果同上。

　　参数 -m mac --mac-source

　　范例 iptables -A INPUT -m mac --mac-source 00:00:00:00:00:01

　　说明 用来比对封包来源网络接口的硬件地址，这个参数不能用在 OUTPUT 和 Postrouting 规则炼上，这是因为封包要送出到网卡后，才能由网卡驱动程序透过 ARP 通讯协议查出目的地的 MAC 地址，所以 iptables 在进行封包比对时，并不知道封包会送到哪个网络接口去。

　　参数 --mark

　　范例 iptables -t mangle -A INPUT -m mark --mark 1

　　说明 用来比对封包是否被表示某个号码，当封包被比对成功时，我们可以透过 MARK 处理动作，将该封包标示一个号码，号码最大不可以超过 4294967296。

　　参数 -m owner --uid-owner

　　范例 iptables -A OUTPUT -m owner --uid-owner 500

　　说明 用来比对来自本机的封包，是否为某特定使用者所产生的，这样可以避免服务器使用 root 或其它身分将敏感数据传送出去，可以降低系统被骇的损失。可惜这个功能无法比对出来自其它主机的封包。

　　参数 -m owner --gid-owner

　　范例 iptables -A OUTPUT -m owner --gid-owner 0

　　说明 用来比对来自本机的封包，是否为某特定使用者群组所产生的，使用时机同上。

　　参数 -m owner --pid-owner

　　范例 iptables -A OUTPUT -m owner --pid-owner 78