IpTables Rope

Rope è un "modulo match" per iptables Linux che permette ai pacchetti di essere abbinati con le regole altamente flessibili, scritto in un semplice linguaggio di script appositamente progettato. È stato scritto inizialmente per fornire il supporto per la prossima fase del progetto P2PWall per il controllo di vari stili di traffico delle applicazioni peer-to-peer, ma è molto più ampio nella sua possibilità di utilizzo. Vedere la pagina Generali per una panoramica un'esercitazione di stile.
I moduli partita di iptables consentono regole per intraprendere azioni a seconda che un pacchetto soddisfa determinati criteri oppure no. La distribuzione standard di netfilter / iptables fornisce una gamma di moduli utili di questo tipo. Questi di solito permettono indirizzi tipi di protocollo (TCP o UDP), di origine e destinazione e le porte, ecc da controllare.
C'è anche una serie di interessanti "extra" che può essere compilato nel kernel per fornire alcune caratteristiche corrispondenti pacchetto estese. Un esempio è il modulo "stringa" che consente ai pacchetti di essere abbinati in base dell'esistenza (o meno) di stringhe specificate ovunque nella parte payload dei pacchetti di dati. Ci sono un certo numero di altri tesori nascosti che possono essere utilizzati per estendere notevolmente le caratteristiche del sistema.
Per poter utilizzare CORDA per costruire una regola di corrispondenza, è necessario prima di scrivere il scriptlet CORDA che codifica i criteri di corrispondenza. A titolo di esempio, si potrebbe cercare il "Content-length" intestazione di una scarica HTTP e verificare che la lunghezza non superi 1000000 byte utilizzando il seguente script ..
Questo script ha le seguenti misure al fine di farlo funzionare:
1. Ricerca il payload dati del pacchetto per la stringa "Content-length:", ma ignora lettera caso durante la ricerca.
2. Se la stringa non viene trovata, lo script si ferma e restituisce uno stato "non adeguato" a netfilter.
3. Se viene trovata la stringa, lo script prende le cifre che lo seguono, e li memorizza come una stringa nel registro $ n.
4. La stringa di $ n viene convertito in un intero e confrontato con il numero 1000000. Se $ n è grande di 1000000 lo script termina e restituisce lo stato "abbinato" per iptables.
   5. In caso contrario, lo script termina con uno stato "non corrisponde".
La lingua in cui sono scritti script come questo si basa sull'idea di notazione ReversePolish ma esteso per gestire il concetto di AnchorBrackets. La lingua è documentato in dettaglio nella LanguageReference.