Ao escrever um arquivo de salvamento do iptables manualmente, como calcular os valores do contador de pacotes e do contador de bytes?

Question

Estou tentando gravar um arquivo de conjunto de regrasiptables de 22MB%, o tipo que é gerado com o comando iptables-save , exceto infinitamente longo. Compreensivelmente, isso leva um tempo proibitivo. Veja este exemplo em miniatura.

*filter
:INPUT ACCEPT [64:4692]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [72:28512]
-A INPUT -p tcp -m tcp --sport 9000:9004 -m iprange --src-range 127.0.0.1-127.0.0.1 -j DROP
COMMIT

Seguindo (INPUT|OUTPUT|FORWARD) ACCEPT , aparecem faixas de valores.

:< chain-name > < chain-policy > [< packet-counter >:< byte-counter >]

Eles parecem dependentes de algo já armazenado em iptables sobre o uso de iptables-save , mas, como carregar as regras em iptables é o problema, não sei ao certo como adquirir esses valores, Eu posso inseri-los à mão (pelo vim, ao invés disso), no arquivo final do conjunto de regras.

Como se pode calcular estes valores? É possível sem executar outro comando iptables ?

    

Answer 1

A menos que você esteja usando os contadores em uma de suas regras, ou precise dos contadores para algum outro propósito (faturamento, etc), eu os omitiria da seguinte forma:

*filter
:INPUT ACCEPT
:FORWARD ACCEPT
:OUTPUT ACCEPT
-A INPUT -p tcp -m tcp --sport 9000:9004 -m iprange --src-range 127.0.0.1-127.0.0.1 -j DROP
COMMIT

É possível ver os valores atuais do contador usando o comando iptables --list .

iptables -L -v -x

Note que os contadores mudam conforme os pacotes são passados pelas cadeias de regras, então assim que você lê os contadores eles podem ser alterados por um pacote de entrada ou saída.