Dotaz: iptables + zápis více src/dst v jednom pravidle

[vampi]

zdravíčko, prosím neví někdo jak zapsat do pravidla v iptables pro SRC nebo DST více ip adress/subnetů :) konkrétně bych chtěl aby pravidlo vyhovělo všemu kromě paketů, které přicházejí z xxx.xxx.xxx.xxx/xx a yyy.yyy.yyy.yyy/yy s jedním subnetem to pomocí vykřičníku udělám, ale nevím jak zapsat víc. díky moc

Odpovědi

[Pinky]

Myslím že toto není možné, prostě napište více pravidel.

[vampi]

rád bych, ale mám to pro traffic meter a pak se mi pakety které neprojdou jedním zapíší u druhého a to nechci :) ještě mě napadlo je ve finále při ukládání do databáze odčítat, ale to je krajní řešení :)

[snowracer]

Vyhovět všemu mimo dvou subnetů?

1. Vytvořil bych novou tabulku (table). V žádaném místě skok do ní. Prví pravidlo by testovalo příslušnost paketu do prvního subnetu. V případě kladného výsledku return. Druhé pravidlo obdobně pro druhý chain. Třetí by provádělo žádanou akci se zbytkem paketů.

2. Použít MARK či CONNMARK. Značit pakety jistou stejnou značkou a následně počítat všechny, které tuto značku nemají.

3. To odečítání by také nemuselo být špatná volba. Mohlo by to být i rychlejší.