使用iptables建置Linux 防火墙(9)

　　说明 用来比对来自本机的封包，是否为某特定行程所产生的，使用时机同上。

　　参数 -m owner --sid-owner

　　范例 iptables -A OUTPUT -m owner --sid-owner 100

　　说明 用来比对来自本机的封包，是否为某特定联机（Session ID）的响应封包，使用时机同上。

　　参数 -m state --state

　　范例 iptables -A INPUT -m state --state RELATED,ESTABLISHED

　　说明 用来比对联机状态，联机状态共有四种：INVALID、ESTABLISHED、NEW 和 RELATED。

　　INVALID 表示该封包的联机编号（Session ID）无法辨识或编号不正确。

　　ESTABLISHED 表示该封包属于某个已经建立的联机。

　　NEW 表示该封包想要起始一个联机（重设联机或将联机重导向）。

　　RELATED 表示该封包是属于某个已经建立的联机，所建立的新联机。例如：FTP-DATA 联机必定是源自某个 FTP 联机。

　　常用的处理动作：

　　-j 参数用来指定要进行的处理动作，常用的处理动作包括：ACCEPT、REJECT、DROP、REDIRECT、MASQUERADE、LOG、DNAT、SNAT、MIRROR、QUEUE、RETURN、MARK，分别说明如下：

　　ACCEPT 将封包放行，进行完此处理动作后，将不再比对其它规则，直接跳往下一个规则炼（nat:postrouting）。

　　REJECT 拦阻该封包，并传送封包通知对方，可以传送的封包有几个选择：ICMP port-unreachable、ICMP echo-reply 或是 tcp-reset（这个封包会要求对方关闭联机），进行完此处理动作后，将不再比对其它规则，直接 中断过滤程序。范例如下：

　　iptables -A FORWARD -p TCP --dport 22 -j REJECT --reject-with tcp-reset

　　DROP 丢弃封包不予处理，进行完此处理动作后，将不再比对其它规则，直接中断过滤程序。

　　REDIRECT 将封包重新导向到另一个端口（PNAT），进行完此处理动作后，将 会继续比对其它规则。 这个功能可以用来实作通透式 porxy 或用来保护 web 服务器。例如：iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080

　　MASQUERADE 改写封包来源 IP 为防火墙 NIC IP，可以指定 port 对应的范围，进行完此处理动作后，直接跳往下一个规则炼（mangle:postrouting）。这个功能与 SNAT 略有不同，当进行 IP 伪装时，不需指定要伪装成哪个 IP，IP 会从网卡直接读取，当使用拨接连线时，IP 通常是由 ISP 公司的 DHCP 服务器指派的，这个时候 MASQUERADE 特别有用。范例如下：