Wohin geht das gepackte Klonmaterial iptables-mod-teenach dem Klonen, wenn ich eine Regel wie diese hinzufüge?:
iptables -t mangle -A POSTROUTING -o eth2 -j TEE --gateway 192.168.0.3
Bitte beachten Sie das Diagramm unten. Ich denke, es ist offensichtlich, dass das Modul mit dem obigen Befehl die von als Klon iptables-mod-teeverwendetPOSTROUTING chainmangle tableQuelleaber was passiert mit dem Paketnaches wird geklont? das heißt, in welche Kette und Tabelle geht der Klon?
BEARBEITEN: Dem obigen Diagramm wurde eine rote gestrichelte Linie hinzugefügt, um den in der Antwort beschriebenen Pfad des geklonten Pakets darzustellen.
Antwort1
Das Paketgeklont durch TEE,ist so eingestellt, dass es von Conntrack nicht verfolgt wird,verhindert werden erneut dupliziertund emittiert durch dielokale AusgabeTeil des Routing-Stacks, also zuerst gesehen von raw/OUTPUT (Sie können auch auf diesePaketfluss im Netfilter und allgemeines Netzwerkschema: das wäre direkt nach dem lokalen Prozess). Dies wäre dasselbe, wenn die Duplizierung vorher (z. B. in mangle oder raw PREROUTING) für ein geroutetes Paket durchgeführt wurde. Dies macht es schwierig (abernicht unmöglich) wie ein zusätzliches NAT behandelt werden, da es nicht verfolgt wird und sich nur schwer vom Original unterscheiden lässt.
Hier ist ein BeispielVERFOLGEN(unter Verwendung der Version von iptables-legacy) Erfassung eines Pings von 192.168.0.2 nach 8.8.8.8 in einem Setup ähnlich dem von OP: Die Erfassung erfolgte auf dem Router unter Verwendung von iptables -t raw -A OUTPUT -j TRACE. Das OriginalweitergeleitetPaket wird nicht angezeigt, da es von Raw/PREROUTING erfasst werden müsste, wodurch die obige Erklärung bestätigt wird, dass es über die Ausgabe erfolgt.
TRACE: raw:OUTPUT:policy:2 IN= OUT=eth1 SRC=192.168.0.2 DST=8.8.8.8 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=39209 DF PROTO=ICMP TYPE=8 CODE=0 ID=3070 SEQ=1
TRACE: mangle:OUTPUT:policy:1 IN= OUT=eth1 SRC=192.168.0.2 DST=8.8.8.8 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=39209 DF PROTO=ICMP TYPE=8 CODE=0 ID=3070 SEQ=1
TRACE: mangle:POSTROUTING:policy:2 IN= OUT=eth1 SRC=192.168.0.2 DST=8.8.8.8 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=39209 DF PROTO=ICMP TYPE=8 CODE=0 ID=3070 SEQ=1