____________________________________________________________________________________
____________________________________________________________________________________
SHDSL модем MXL2-2
31
–
действия, которое применяется к пакету в случае, если он соответствует данному
набору признаков.
Правило может быть помещено в одну из двух таблиц: filter или nat. Правила в таблице filter
определяют действия по фильтрации пакетов (разрешить или отбросить), таблица filter
анализируется при обработке каждого пакета. Правила в таблице nat определяют действия по
преобразованию адресов и/или портов. Таблица nat просматривается только при обнаружении
пакета, который принадлежит новому соединению. Для уже установленных соединений
применяются те же правила, которые были применены при установке соединения.
Правила объединяются в цепочки, каждая цепочка состоит из:
–
упорядоченной последовательности правил;
–
политики цепочки.
Политика цепочки определяется одним из двух действий: ACCEPT (принять) или DROP
(отбросить).
В таблице filter имеются следующие цепочки:
–
INPUT;
–
OUTPUT;
–
FORWARD.
В таблице nat имеются следующие цепочки:
–
PREROUTING;
–
POSTROUTING;
–
OUTPUT.
При получении или отправке пакета он проверяется на соответствие правилам в одной или
нескольких цепочках. Используемые при этом цепочки выбираются следующим образом
(рисунок 5):
1.
Если пакет был принят внешним интерфейсом устройства и предназначен другому
устройству (имеет IP-адрес назначения, не являющийся адресом интерфейса данного
устройства), то к нему последовательно применяются правила в цепочках PREROUTING,
FORWARD и POSTROUTING.
2.
Если пакет был принят внешним интерфейсом устройства и предназначен данному
устройству (имеет IP-адрес назначения, соответствующий адресу интерфейса данного
устройства), то к нему применяются правила в цепочке PREROUTING, а затем в цепочке INPUT.
3.
Если пакет был сформирован данным устройством, то к нему последовательно
применяются правила в цепочке OUTPUT таблицы nat, в цепочке OUTPUT таблицы filter и в
цепочке POSTROUTING.
Варианты 2 и 3 имеют место в случае обмена данными между какой-либо программой,
выполняющейся на данном устройстве (например web-сервером, DHCP-сервером) и внешним
устройством.
