conntrack-tools

conntrack-tools offre una serie di strumenti userspace software libero per Linux che consentono agli amministratori di sistema di interagire con il Connection Tracking System, che è il modulo che fornisce stateful packet inspection per iptables. Gli conntrack-tools sono conntrackd daemon userspace e l'interfaccia a riga di comando conntrack.
Perché usare gli conntrack-tools?
Il conntrackd daemon userspace può essere usato per abilitare alta disponibilità cluster-based firewall stateful e raccogliere statistiche dell'uso firewall stateful. L'interfaccia a riga di comando conntrack fornisce un'interfaccia più flessibile il sistema di inseguimento connnection di / proc / net / ip_conntrack.
Che cosa può fare il conntrack-tools per me?
Un sacco di cose interessanti. conntrackd copre gli aspetti specifici della stateful firewall Linux per abilitare soluzioni di alta disponibilità e può essere usato come le statistiche collezionista dell'uso firewall pure. La conntrack interfaccia a riga di comando fornisce un'interfaccia per aggiungere, eliminare e flusso di aggiornamento voci, elencare i flussi correntemente attive in formato testo / XML, attuale IPv4 NAT scorre, azzerare i contatori atomicamente, lavare la tabella di rilevamento di connessione e monitorare gli eventi di monitoraggio di collegamento tra molti altro.
Quindi, non conntrackd fornisce un equivalente di pfsync di OpenBSD?
Di Si. conntrackd sincronizza gli stati tra diversi firewall replica, in modo da poter distribuire le configurazioni di failover con stateful firewall Linux. Vedere la sezione di supporto per ulteriori informazioni. Tuttavia, conntrackd può essere utilizzato anche per raccogliere statistiche dell'uso firewall completo.
Perchè utilizzare lo strumento conntrack riga di comando al posto di / proc / net / ip_conntrack?
Ci sono molte buone ragioni per farlo. L'interfaccia / proc offre un'interfaccia abbastanza limitato alla Connection Tracking System in quanto consente solo il dump attuali flussi di rete attivi. Invece, conntrack consente di aggiornare i flussi di rete senza l'aggiunta di una nuova regola di iptables, ad esempio, aggiornare il contrassegno conntrack, o scaricare la tabella di rilevamento di connessione in formato XML. Inoltre, utilizzando l'interfaccia / proc per scaricare la tabella di rilevamento di connessione sotto firewall molto occupato, cioè quelli con tonnellate di stati di connessione, danneggia le prestazioni. In particolare, questo diventa un problema se si effettua il prelevamento dall'interfaccia / proc per ottenere statistiche firewall. Inoltre, conntrack offre eventi di connessione di controllo che una caratteristica che l'interfaccia / proc non fornisce.
Posso usare conntrack per tagliare le connessioni TCP stabilite?
Di Si. È possibile utilizzare conntrack per uccidere una connessione TCP stabilita senza l'aggiunta di una regola di iptables. Naturalmente, è necessario un set di regole stateful sano che avrebbe bloccato un pacchetto che non corrisponde a una voce esistente nella tabella di rilevamento di connessione. Fondamentalmente, l'idea consiste nel rimuovere la voce che parla connessione TCP vittima. Così, il client sperimenta una connessione caduta. Inoltre, dal momento che conntrack non dipende del protocollo di livello 4, è possibile utilizzare per uccidere qualunque livello 4 flusso di rete (UDP, SCTP, ...).

Cosa c'è di nuovo in questa versione:

• Questa versione aggiunge il supporto per scaricare il & quot; morire & quot; e & quot; non confermato & quot; Lista via ctnetlink.
• Una situazione di stallo a causa di blocco sbagliato segnale nested è stato risolto.

Cosa c'è di nuovo nella versione 1.4.0:

• Questa versione aggiunge l'infrastruttura helper user-space, che comprende il portmapper RPC (per sostenere NFSv3) e Oracle * TNS aiutanti.

Cosa c'è di nuovo nella versione 1.2.2:

• flushing selettivo per il & quot; -t & quot; e & quot; -F & quot; opzioni di comando è stata implementata.
• L'operazione di commit è ora sincrona.

Cosa c'è di nuovo nella versione 1.2.0:

• Questa versione supporta le aspettative NAT, la sincronizzazione di previsione funzioni di classe, i nomi di supporto, e si aspettano.
• Filtro per marchio è ora consentito.

Sono stati aggiunti
• configurazioni di esempio per Q.931 e H.245.

Cosa c'è di nuovo nella versione 1.0.1:

• è stato aggiunto il supporto per le maschere marchio

Cosa c'è di nuovo nella versione 0.9.11:

• Questa release include correzioni accumulati, uno per il miglioramento approccio polling e un paio di nuove funzionalità.

Cosa c'è di nuovo nella versione 0.9.10:

• Una nuova opzione '-C' per il comando interfaccia a linea per visualizzare il numero di voci nelle tabelle conntrack e aspettative.
• miglioramenti delle prestazioni interno.
• Il supporto per multi-link dedicato.
• estesa informazioni statistiche.
• Polling (o basati su batch) di sincronizzazione.

Cosa c'è di nuovo nella versione 0.9.9:

• Supporto Filtro è stato aggiunto per i collegamenti relativi (-L --status ATTESI).
• sono state apportate diverse aggiornamenti manpage.
• Un nuovo formato del messaggio è utilizzato nel protocollo di replica (che rompe la retrocompatibilità con le precedenti release conntrack-tools).
• sono stati fatti diversi miglioramenti delle prestazioni.
• è stato aggiunto il supporto di filtraggio basato CIDR-.
• Correzioni e miglioramenti sono stati fatti nello stato di iniezione di kernel (commettere).
• sono state apportate diverse ripuliture.

Cosa c'è di nuovo nella versione 0.9.8:

• Questa versione include numerosi aggiornamenti, correzioni e miglioramenti nello strumento a riga di comando e il demone in user-space.
• Si raccomanda aggiornamento.

Requisiti :

• libnfnetlink
• libnetfilter_conntrack