Linux за българи: Форуми

kernel: 2.6.18.6
iptables: 1.3.7
l7filter: 2.9

Инсталацията е FC4,  с прекомпилирано ядро 2.6.18.6, с добавен пач за l7-filter, и прекомпилиран сървиз iptables 1.3.7 отново с пач за l7-filter, използвам l7-rptocols последните налини. Мрежовата карта е настроена в promisc mode.
Пакетите, които са от самата машина и за самата машина, се детектират успешно от iptables и l7-filter. Но тези, които не са предназначени за нея не достигат до iptables.
При употреба на tcpdump пакетите предназначени за други машини успешно се детектират, също така и при работа с pmacct/pmacctd. Ако някой има идея защо пакетите не достигат до таблиците на iptables моля да помага благодаря предварително

По какво съдиш, че пакетите не достигат до стената? Правила малко да дадеш...

ПП: Тази машина рутер ли е?

Машината не е рутер, смятам че пакетите не достигат до iptables защото нито един от chains не хваща трафика който не е насочен за машината конкретно а идва поради това, че е пуснат promisc. Съответно и в правилата включващи l7-protocol matching не попада нищо. Правилата, които ме интересуват се зареждат посредством следния скрипт:

Примерен код

export IPT_NFO_STR="IPT-INFO" date > last-ipt-mangle-init-date date >> ipt-mangle-init-date # #iptables -t mangle --flush for IPT_CHAIN in "PREROUTING" "INPUT" "FORWARD" "OUTPUT" "POSTROUTING" do for IPT_L7_PROTO in "dns" "dhcp" "snmp" "ntp" "ftp" "tftp" "http" "ssh" do iptables -t mangle -A $IPT_CHAIN -m layer7 --l7proto $IPT_L7_PROTO done

Какво нередно има?

Трафикът не "идва" заради това, че интерфейсът е в такъв режим, той си "идва" по принцип. По-скоро товариш ядрото да се занимава с повече sk_buff's, отколкото по принцип, защото драйверът на мрежовата карта не ти отрязва "чуждия" трафик (т.е фреймовете с dst MAC!=този на твоят интерфейс).

Тези "чужди" пакети, дори обработени от ядрото, не могат да се асоцират с нито един отворен сокет например. По сходни причини, netfilter не ги асоцира с нито един "chain". Просто source/destination MAC адресите на тези получени фреймчета не отговаря на критериите.

Целта на всичко това е тази машина да следи и класифицира трафикът предназначен не само за нея а и за останалите машини в прилежащата мрежа. Ще опитам с форуърдинг.
Рутинг таблицата е абсолютно празна и стандартна, като се изключат правилата добавени с вече показания скрипт.

Ахъм, само че няма да стане по този начин.

П.П. : това в switching environment?
П.П2 : какви са тия полицейщини?

да в switching environment
не са полицейщини а нужна мярка

въпросът е по-кой начин ще стане?
 

Ми първо ако е така и със суичовете всичко е наред, би следвало да "хващаш" само broadcast трафик, както и unicast такъв, но само ако е предназначен за теб. Това няма никаква връзка с момента дали интерфейсът ти е в promiscuous режим. Суичовете по дефиниция би следвало да ти препращат само трафика, който е с твоят mac destination.

Второ, netfilter (iptables) няма как да "хваща" този трафик. Можеш малко да си поиграеш и да си смениш mac адреса с този на default gateway-a за останалите машини, тогава *мистериозно* по веригите ще се отчитат тези пакети...както и ще си имаш проблеми със свързаността.

И накрая, за да следиш по някакъв начин този трафик, забрави въобще за netfilter, трябва ти вероятно нещо libpcap-базирано. Не знам каква точно ти е целта, вероятно ntop донякъде може да ти свърши работа, поне има уеб фронтенд дето вади красиви графики и статистики

Според мен единствения начин е да си пуснеш машината в режим на рутер, да си смениш мак-а на мак-а на шлюза за мрежата (както и ИП-то), след това да нафлудиш суичовете с АРП, така че да преминат в "хъб" режим и да forward-ваш пакетите през твоята машина ... но това не е много хубаво

Здравей,
цък

Uvigii, мисля че твоята схема може да се реализира и по-лесно само с proxyarp на двата интерфейса и без ebtables, въпреки че няма особена разлика де..

Мисля, че неговият случай обаче не е точно такъв, в смисъл такъв, че той иска от някаква произволна станция в етернет сегмента да хваща и отчита, че и да модифицира трафици, при положение че не му е било писано въобще те да минават през същата станция