patch-o-matic으로 확장된 기능 이용 방법

[root@server src]# wget ftp://ftp.netfilter.org/pub/iptables/iptables-x.x.x.tar.bz2

[root@server src]# wgetftp://ftp.netfilter.org/pub/patch-o-matic-ng/snapshot/patch-o-matic-ng-200xxxxx.tar.bz2

[root@server src]# tar jxvfp iptables-x.x.x.tar.bz2

[root@server src]# ln -s iptables-x.x.x iptables

[root@server src]# mv patch-o-matic-ng-200xxxxx.tar iptables-x.x.x

[root@server src]# cd iptables-x.x.x; tar jxvfp patch-o-matic-ng-200xxxxx.tar.bz2

[root@server patch-o-matic-ng-200xxxxx]#./runme --help

Usage:

./runme [--batch] [--reverse] [--exclude suite/patch-dir ]

suite|suite/patch-dir

Options:

--download 일부 패치는 기본으로 제공하지 않으므로 외부링크를 통해 더 많은 패치를 다운로드받는다.

--batch 배치모드로 자동으로 패치를 적용한다.

--test 테스트 모드로 자동으로 패치를 테스트한다.

--check 체크모드로 이미 패치가 되었는지 여부를 자동으로 체크한다.

--reverse 선택한 패치를 취소한다.

--exclude suite/patch-dir 해당 이름의 패치는 제외한다.

--help 이 도움말 메시지를 보여준다.

--man manpage를 보여준다.

--kernel-path 커널의 소스 디렉토리 경로를 지정한다.

--iptables-path iptables의 소스 디렉토리 경로를 지정한다.

[root@server patch-o-matic-ng-200xxxxx]# ./runme extra

Hey! KERNEL_DIR is not set.

Where is your kernel source directory? [/usr/src/linux]

Hey! IPTABLES_DIR is not set.

Where is your iptables source code directory? [/usr/src/iptables]

Welcome to Patch-o-matic ($Revision: 6736 $)!

Kernel: 2.6.19, /usr/src/linux

Iptables: 1.4.0, /usr/src/iptables

Each patch is a new feature: many have minimal impact, some do not.

Almost every one has bugs, so don't apply what you don't need!

-------------------------------------------------------

Already applied:

Testing set... not applied

The set patch:

Author: Jozsef Kadlecsik <kadlec@blackhole.kfki.hu>

Status: Beta

This adds CONFIG_IP_NF_SET, which provides a match which lets you use

IP sets; the match depends on whether a checked source or destination address/network address/port has its bit set in/added to the given set.

It also provides a SET target, which can be used to add or remove the

addresses/ports of a packet to/from a set. The currently supported types

of the sets are: ipmap, macipmap, portmap, iphash, nethash, ipporthash

and iptree.

It is possible to chain sets together by binding.

The userspace program ipset(8) is required to define and setup IP sets.

-----------------------------------------------------------------

Do you want to apply this patch [N/y/t/f/a/r/b/w/q/?] t

Patch set applies cleanly

-----------------------------------------------------------------

Do you want to apply this patch [N/y/t/f/a/r/b/w/q/?] y

iptables -A INPUT -m psd -j DROP

iptables -A INPUT -m time --timestart 8:00 --timestop 18:00 --days Mon,Tue,Wed,Thu,Fri -j ACCEPT

iptables -A INPUT -p TCP --sport 1024:65535 --dport 23 -m time --timestart 21:00 --timestop 00:00 --days Mon,Tue,Wed,Thu,Fri,Sat,Sun -m state --state NEW -j ACCEPT

iptables -A INPUT -p TCP --sport 1024:65535 --dport 23 -m time --timestart 00:00 --timestop 02:00 --days Mon,Tue,Wed,Thu,Fri,Sat,Sun -m state --state NEW -j ACCEPT

iptables를 사용하다보면 table(테이블), chain(체인), rule(룰)이라는 용어가 자주 사용되는데 각각의 용어에 대해 명확히 할 필요가 있다.

필자도 처음에는 이 부분을 이해하는데 시간이 많이 걸렸는데, 반복적으로 읽어보고 정확한 의미를 이해하기 바란다.

먼저 table은 어떠한 기능을 제공하는 것으로 기본적으로 filter, nat, mangle 이렇게 3개가 있는데, 특정한 table을 언급하려면 -t filter와 같이 -t [table명]을 지정하면 된다.

만약 특별한 언급이 없을 경우에는 기본적으로 filter 테이블이 사용되는데, 그만큼 filter 테이블이 iptables의 핵심적이고 기본적인 기능이라는 의미로 볼 수 있다.

filter 테이블은 이름 그대로 패킷을 허용하거나 거부하는 등 필터링하며, nat는 공유기나 사설ip로 서비스를 제공하는 서버와 같이 패킷의 목적지나 소스주소, 포트 등을 변경하는 기능을 하며 mangle은 잘 사용되지는 않는데, ttl등 패킷의 특성을 변경하거나 지정하는 기능을 한다.

다음으로 chain은 패킷이 이동하는 경로를 나타내며 각각의 table은 각각의 다른 chain 을 가지고 있다.

예를 들면 filter 테이블의 경우 INPUT, FORWARD, OUTPUT chain등이 있다.

룰(RULE)은 앞에서 살펴본 iptables 명령어와 같이 각각의 chain에 설정하는 일련의 정책을 뜻한다.