Linux网络之连接跟踪 conntrack

2023-12-04 02:36

本文主要是介绍Linux网络之连接跟踪 conntrack,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

一  Linux网络之连接跟踪 conntrack

k8s 有关conntrack的分析

①  什么是连接跟踪

netfilter连接跟踪 conntrack 详述

思考:连接跟踪模块会对'哪些协议'进行'跟踪'?'TCP'、UDP、ICMP、DCCP、SCTP、'GRE'

②  为什么需要连接跟踪

'没有'连接跟踪有'很多问题'是不好'解决'的:1、conntrack是属于'netfilter'的一部分2、netfilter主要'功能'就是对'数据包'的'过滤及更改',没有连接跟踪只能对单个数据包进行过滤3、比如之前的'无状态防火墙',有了'连接跟踪'后,则可以把'报文的生命周期延长'了4、从第一个包到最后一个包都可以关联到一起,就从对'点'的防护做到了对'线'防护,'有状态'防火墙5、有些协议如ftp、sip、tftp等有控制连接和数据连接,两个连接是有'从属关系'的备注: 如果需要对'此类流量'进行过滤,没有连接跟踪是'不好搞'的6、最主要的就是'NAT方案',可以'解决ipv4地址'不够,内网外网连接问题7、如果要'实现NAT',就需要让'内核跟踪会话'8、设置了CONFIG_NF_CONNTRACK_IPV4就可以构建ipv4 NAT9、连接跟踪的'应用场景':NAT、状态防火墙、四层负载均衡

③  连接跟踪的实现原理

连接跟踪: 有'记忆'的记录'flow'流

④  conntrack中的连接

连接跟踪

⑤  NAT网络地址转换

百度百科 NAT   阿里云 NAT  华为云 NAT

NAT也可以替换'源端口'  --> 'WAF'涉及NAT还可以'进一步'分类:SNAT: '源'地址转换    --> '出公网'  --> 家庭'上网'DNAT: '目的'地址转换  --> '进内网'Full NAT: 原地址和目的地址'都'转换  --> 'LVS'

⑥  思考

思考:iptables规则会影响tcpdump抓包吗?1、答案是'不会'2、tcpdump抓包是libpcap实现的,libpcap是用bpf实现的3、bpf'位于netfilter前',所以'不会影响抓包'

⑦  conntrack 命令

yum install -y conntrack  

conntrack-tool工具

需求1: 查看连接跟踪表之中 'snat转换' 的'连接'conntrack -L -n 注意:连接信息之中会记载'未经转换'的ip信息需求2: 查看'绝对'开始日期需要'先执行' echo 1 > /proc/sys/net/netfilter/nf_conntrack_timestamp'启用'该功能然后 conntrack -L -o ktimestamp需求3: 如何查看一个'连接'的信息conntrack -L -s 来源ip地址根据'来源ip'来进行搜索'显示连接'的信息

conntrack -L '每行'的'输出'含义解读1、第一列tcp表示'协议名'2、第二列'6'表示TCP的'协议号'3、第三列'91'表示这条连接的'TTL' 秒4、第四列'TIME_WAIT'表示'TCP的状态',这一列是'扩展'信息,并'不是'每种协议都会有5、然后是src=192.168.0.101 dst=10.10.102.155 sport=58554 dport=8000它表示该连接的'请求包'的四元组6、然后是src=10.10.102.155 dst=192.168.0.101 sport=8000它表示该连接的'回复包'的四元组7、[ASSURED]表示'该连接'的状态,说明'回复方向的包'已经'收到'过了
​
连接标记'说明':UNREPLIED:  表示这个连接还'没有'收到任何'回应'ASSURED:    连接上已经有'多个'数据包传输,会被标记为 ASSURED

连接跟踪详解

⑧  内核参数

1、nc 表的'容量'/proc/sys/net/netfilter/nf_conntrack_max2、查看当前的'连接表 nc'之中连接的'数量'/proc/sys/net/netfilter/nf_conntrack_count3、查看nf_conntrack的'TCP连接记录时间'  --> 86400 --> '24h'/proc/sys/net/netfilter/nf_conntrack_tcp_timeout_established

iptables -A INPUT -m conntrack --ctstate RELATED -j ACCEPT

这篇关于Linux网络之连接跟踪 conntrack的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/451787

相关文章

Linux换行符的使用方法详解

《Linux换行符的使用方法详解》本文介绍了Linux中常用的换行符LF及其在文件中的表示,展示了如何使用sed命令替换换行符,并列举了与换行符处理相关的Linux命令,通过代码讲解的非常详细,需要的... 目录简介检测文件中的换行符使用 cat -A 查看换行符使用 od -c 检查字符换行符格式转换将

Linux系统配置NAT网络模式的详细步骤(附图文)

《Linux系统配置NAT网络模式的详细步骤(附图文)》本文详细指导如何在VMware环境下配置NAT网络模式,包括设置主机和虚拟机的IP地址、网关,以及针对Linux和Windows系统的具体步骤,... 目录一、配置NAT网络模式二、设置虚拟机交换机网关2.1 打开虚拟机2.2 管理员授权2.3 设置子

揭秘Python Socket网络编程的7种硬核用法

《揭秘PythonSocket网络编程的7种硬核用法》Socket不仅能做聊天室,还能干一大堆硬核操作,这篇文章就带大家看看Python网络编程的7种超实用玩法,感兴趣的小伙伴可以跟随小编一起... 目录1.端口扫描器:探测开放端口2.简易 HTTP 服务器:10 秒搭个网页3.局域网游戏:多人联机对战4.

Linux系统中卸载与安装JDK的详细教程

《Linux系统中卸载与安装JDK的详细教程》本文详细介绍了如何在Linux系统中通过Xshell和Xftp工具连接与传输文件,然后进行JDK的安装与卸载,安装步骤包括连接Linux、传输JDK安装包... 目录1、卸载1.1 linux删除自带的JDK1.2 Linux上卸载自己安装的JDK2、安装2.1

Linux卸载自带jdk并安装新jdk版本的图文教程

《Linux卸载自带jdk并安装新jdk版本的图文教程》在Linux系统中,有时需要卸载预装的OpenJDK并安装特定版本的JDK,例如JDK1.8,所以本文给大家详细介绍了Linux卸载自带jdk并... 目录Ⅰ、卸载自带jdkⅡ、安装新版jdkⅠ、卸载自带jdk1、输入命令查看旧jdkrpm -qa

Linux samba共享慢的原因及解决方案

《Linuxsamba共享慢的原因及解决方案》:本文主要介绍Linuxsamba共享慢的原因及解决方案,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录linux samba共享慢原因及解决问题表现原因解决办法总结Linandroidux samba共享慢原因及解决

新特性抢先看! Ubuntu 25.04 Beta 发布:Linux 6.14 内核

《新特性抢先看!Ubuntu25.04Beta发布:Linux6.14内核》Canonical公司近日发布了Ubuntu25.04Beta版,这一版本被赋予了一个活泼的代号——“Plu... Canonical 昨日(3 月 27 日)放出了 Beta 版 Ubuntu 25.04 系统镜像,代号“Pluc

SpringBoot使用OkHttp完成高效网络请求详解

《SpringBoot使用OkHttp完成高效网络请求详解》OkHttp是一个高效的HTTP客户端,支持同步和异步请求,且具备自动处理cookie、缓存和连接池等高级功能,下面我们来看看SpringB... 目录一、OkHttp 简介二、在 Spring Boot 中集成 OkHttp三、封装 OkHttp

Spring Boot 整合 MyBatis 连接数据库及常见问题

《SpringBoot整合MyBatis连接数据库及常见问题》MyBatis是一个优秀的持久层框架,支持定制化SQL、存储过程以及高级映射,下面详细介绍如何在SpringBoot项目中整合My... 目录一、基本配置1. 添加依赖2. 配置数据库连接二、项目结构三、核心组件实现(示例)1. 实体类2. Ma

Linux安装MySQL的教程

《Linux安装MySQL的教程》:本文主要介绍Linux安装MySQL的教程,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录linux安装mysql1.Mysql官网2.我的存放路径3.解压mysql文件到当前目录4.重命名一下5.创建mysql用户组和用户并修