conntrack-verktyg erbjuder en samling av fria programanvändarrymden verktyg för Linux som låter systemadministratörer att interagera med Connection Tracking System, vilket är den modul som ger Stateful Packet Inspection för iptables. De conntrack-verktyg är användarrums demonen conntrackd och kommandoradsgränssnittet conntrack.
Varför använda conntrack-verktyg?
Den användarrymden demonen conntrackd kan användas för att möjliggöra hög tillgänglighet klusterbaserade stateful brandväggar och samla statistik över stateful användnings brandvägg. Kommandoradsgränssnittet conntrack ger en mer flexibel gränssnitt till connnection tracking system än / proc / net / ip_conntrack.
Vad kan göra conntrack-verktyg för mig?
Massor av coola saker. conntrackd täcker de specifika aspekter av stateful Linux brandväggar för att möjliggöra hög tillgänglighet lösningar och den kan användas som statistik samlare av användningen brandvägg också. Den kommandoradsgränssnitt conntrack tillhandahåller ett gränssnitt för att lägga till, ta bort och uppdatera flödesposter, listar aktuella aktiva flöden i klartext / XML, nuvarande IPv4 NAT'ed flyter, återställ räknare atomärt, spola anslutningsspårningstabellen och övervaka anslutning spårning händelser bland många andra.
Så gör conntrackd ger en motsvarighet till OpenBSD: s pfsync?
Ja. conntrackd synkroniserar tillstånden bland flera replika brandväggar, så att du kan distribuera failover uppställningar med stateful Linux brandväggar. Se hjälpsektionen för mer information. Däremot kan conntrackd också användas för att samla in statistik över stateful användnings brandvägg.
Varför använda kommandoraden verktyget conntrack istället för / proc / net / ip_conntrack?
Det finns flera goda skäl att göra det. / Proc-gränssnittet erbjuder ett ganska begränsat gränssnitt till Connection Tracking System, eftersom den bara tillåter dig att dumpa nuvarande aktiva nätverksflöden. Istället låter conntrack du uppdatera nätverksflöden utan att lägga till en ny iptables regel t.ex. uppdatera conntrack märket, eller dumpa kopplingen spårningstabellen i XML-format. Dessutom använder / proc-gränssnittet för att dumpa anslutnings spårning tabellen under mycket upptagen brandväggar, dvs de med massor av anslutningsstater, skadar prestandan. Specifikt blir detta ett problem om du hämta från / proc-gränssnittet för att få brandväggs statistik. Även conntrack erbjuder anslutningshändelser övervakning som en funktion som / proc-gränssnittet ger inte.
Kan jag använda conntrack att klippa etablerade TCP-anslutningar?
Ja. Du kan använda conntrack att döda ett TCP-anslutning utan att lägga en iptables regel. Naturligtvis måste du ha ett sane stateful regeluppsättning som skulle blockera ett paket som inte matchar någon befintlig post i anslutning Tracking tabell. I grund och botten, idén består i att ta bort den post som talar om offret TCP-anslutningen. Således upplever kunden en anslutning hänga. Eftersom conntrack är inte beroende av skiktet 4-protokollet, kan du använda för att döda oavsett skikt 4 nätverksflöde (UDP, SCTP, ...).
Vad är nytt i den här versionen:
- Denna version lägger till stöd för att dumpa & quot; döende & quot; och & quot; obekräftade & quot; Listan via ctnetlink.
- Ett dödläge på grund av felaktig kapslade signalblockering var löst.
Vad är nytt i version 1.4.0:
- Denna version lägger användaren-space hjälpare infrastruktur, vilket inkluderar RPC portmapper (att stödja NFSv3) och Oracle * TNS hjälpare.
Vad är nytt i version 1.2.2:
- Selektiv spolning för & quot; -t & quot; och & quot; -F & quot; kommandoalternativ har genomförts.
- begå operationen är nu synkron.
Vad är nytt i version 1.2.0:
- Denna version har stöd för NAT förväntningar, synkronisering av förväntan klass, hjälpare namn, och förväntar funktioner.
- Filtrering av märket nu tillåtet.
- Exempel konfigurationer för Q.931 och H.245 har lagts till.
Vad är nytt i version 1.0.1:
- Stöd för masker mark lades
Vad är nytt i version 0.9.11:
- Den här versionen innehåller ackumulerade fixar, en förbättring för polling strategi och ett par nya funktioner.
Vad är nytt i version 0.9.10:
- En ny '-C' alternativ för kommandot raden för att visa antalet poster i conntrack och förväntansbord.
- förbättringar Intern prestanda.
- Stöd för multi-dedikerade förbindelser.
- Utökad statistik information.
- Polling (eller batch-baserade) synkronisering.
Vad är nytt i version 0.9.9:
- Filtrering stöd lades till relaterade anslutningar (-L --status väntat).
- Flera manualuppdateringar gjordes.
- En ny meddelandeformat används i repliker protokollet (som bryter bakåtkompatibilitet med tidigare conntrack-tools utgåvor).
- Flera prestandaförbättringar gjordes.
- CIDR baserad filtrering support sattes.
- Korrigeringar och förbättringar gjordes i staten injektion till kärna (begå).
- Flera cleanups gjordes.
Vad är nytt i version 0.9.8:
- Den här versionen innehåller många uppdateringar, korrigeringar och förbättringar i kommandoradsverktyg och användarrymd demonen.
- Uppgradering rekommenderas.
Krav :
- libnfnetlink
- libnetfilter_conntrack
Kommentarer hittades inte