 |
|
8. Appendice: Differenze tra ipchains e ipfwadm
Alcune di queste modifiche sono il risultato di modifiche nel kernel,
e altre dipendono dal fatto che ipchains sembra differente da
ipfwadm.
- Molti argomenti sono stati rimappati: le maiuscole ora indicano un comando e le minuscole indicano un'opzione.
- Sono supportate catene arbitrarie e quindi anche le catene predefinite ora hanno un nome invece di essere solamente un opzione (eg. `input' invece di `-I').
- L'opzione `-k' non c'è più: si usi `! -y'.
- L'opzione `-b' inserire/aggiunge/cancella veramente due regole, piuttosto che una singola regola `bidirezionale'.
- L'opzione `-b' può essere passata a `-C' per fare due verifiche (una in ogni direzione).
- L'opzione `-x' a `-l' è stata rimpiazzata da `-v'.
- Non sono più supportate porte di provenienza e destinazione multiple. Spero che l'essere in grado di negare un intervallo di porte venga in aiuto in questi casi.
- Le interfacce possono essere specificate solamente attraverso il nome (non l'indirizzo). Comunque, la vecchia semantica è stata silenzionamente cambiata nei kernel della serie 2.1.
- I frammenti sono esaminati, non lasciati passare automaticamente.
- Sono state rimosse le catene specifiche per l'accounting.
- Possono essere testati protocolli arbitrari su IP.
- Il vecchio comportamente del SYN e ACK matching (che in precedenza era ignorato per i pacchetti non TCP) è cambiato; l'opzione SYN non è valida per regole non specifiche per il TCP.
- I contatori sono ora a 64 bit su macchine a 32 bit, non più a 32 bit.
- Ora sono supportate le opzioni inverse.
- Ora sono supportati i codici ICMP.
- Sono supportati i caratteri jolly nella specifica dell'interfaccia.
- Ora è controllata l'integrità delle manipolazioni TOS: il vecchio codice del kernel sileziosamente bloccava le manipolazioni (illegali) del bit TOS `Must Be Zero'; ipchains ora restituisce un errore se ci si prova, come anche per gli altri casi illegali.
8.1 Tabella di riferimento rapido
[ Gli argomenti dei comandi sono in MAIUSCOLO, mentre gli argomenti delle opzioni in minuscolo ]
Una cosa da notare, il masquerading è specificato da `-j MASQ'; è
completamente diverso da `-j ACCEPT', e non è trattato come un mero
effetto collaterale, diversamente da quanto fa ipfwadm.
=================================================================== | ipfwadm | ipchains | Note ------------------------------------------------------------------- | -A [both] | -N acct | Crea una catena `acct' | |& -I 1 input -j acct | e fa sì che i pacchetti | |& -I 1 output -j acct | in ingresso e in uscita | |& acct | la traversino. ------------------------------------------------------------------- | -A in | input | Una regola senza tattica ------------------------------------------------------------------- | -A out | output | Una regola senza tattica ------------------------------------------------------------------- | -F | forward | Si usi questo come [catena] ------------------------------------------------------------------- | -I | input | Si usi questo come [catena] ------------------------------------------------------------------- | -O | output | Si usi questo come [catena] ------------------------------------------------------------------- | -M -l | -M -L | ------------------------------------------------------------------- | -M -s | -M -S | ------------------------------------------------------------------- | -a tattica | -A [catena] -j TATTICA | (si veda anche -r e -m). ------------------------------------------------------------------- | -d tattica | -D [catena] -j TATTICA | (si veda anche -r e -m). ------------------------------------------------------------------- | -i tattica | -I 1 [catena] -j TATTICA| (si veda anche -r e -m). ------------------------------------------------------------------- | -l | -L | ------------------------------------------------------------------- | -z | -Z | ------------------------------------------------------------------- | -f | -F | ------------------------------------------------------------------- | -p | -P | ------------------------------------------------------------------- | -c | -C | ------------------------------------------------------------------- | -P | -p | ------------------------------------------------------------------- | -S | -s | Accetta solo una porta o | | | intervallo. ------------------------------------------------------------------- | -D | -d | Accetta solo una porta o | | | intervallo. ------------------------------------------------------------------- | -V | <nessuna> | Si usi -i [nome]. ------------------------------------------------------------------- | -W | -i | ------------------------------------------------------------------- | -b | -b | Crea 2 regole. ------------------------------------------------------------------- | -e | -v | ------------------------------------------------------------------- | -k | ! -y | Non funziona finché non | | | si specifica anche -p tcp. ------------------------------------------------------------------- | -m | -j MASQ | ------------------------------------------------------------------- | -n | -n | ------------------------------------------------------------------- | -o | -l | ------------------------------------------------------------------- | -r [redirpt] | -j REDIRECT [redirpt] | ------------------------------------------------------------------- | -t | -t | ------------------------------------------------------------------- | -v | -v | ------------------------------------------------------------------- | -x | -x | ------------------------------------------------------------------- | -y | -y | Non funziona finché non | | | si specifica anche -p tcp. -------------------------------------------------------------------
8.2 Esempi di traduzione di comandi ipfwadm
Vecchio comando: ipfwadm -F -p deny
Nuovo comando: ipchains -P forward DENY
Vecchio comando: ipfwadm -F -a m -S 192.168.0.0/24 -D 0.0.0.0/0
Nuovo comando: ipchains -A forward -j MASQ -s 192.168.0.0/24 -d 0.0.0.0/0
Vecchio comando: ipfwadm -I -a accept -V 10.1.2.1 -S 10.0.0.0/8 -D 0.0.0.0/0
Nuovo comando: ipchains -A input -j ACCEPT -i eth0 -s 10.0.0.0/8 -d 0.0.0.0/0
(Si noti che questi non sono equivalenti specificando l'interfaccia tramite l'indirizzo: si usi il nome di interfaccia. In questa macchina 10.1.2.1 corrisponde a eth0).
Avanti Indietro Indice
Hosting by: hurra.com
Generated: 2007-01-26 17:56:19