Por que os pacotes correspondentes processn retornam a opção unkown

Question

Estou tentando corresponder os pacotes pelo nome do processo em iptabes. Eu estava tentando com ping e um exemplo que recebi: link

Os comandos que eu digitei foram:

iptables -N mychain
iptables -A OUTPUT -m owner --cmd -owner ping -j mychain

No entanto, recebo:

iptables v1.4.21: unknown option "--cmd-owner"
Try 'iptables -h' or 'iptables --help' for more information.

Quando faço isso, não consigo ver a opção "--cmd-owner". Isso ocorre porque essa opção não está mais disponível no iptables v1.4.21? Alguém pode me dizer como posso calcular pacotes por processo no meu host se essa opção não estiver mais disponível?

    

Answer 1

Aparentemente, foi descartado do iptables em algum momento ... Eu não consigo descobrir exatamente quando. Eu encontrei este relatório de bug do Ubuntu.

link

Não há referência a ele ser removido do git, mas há uma referência a quando ele foi originalmente adicionado.

link

Finalmente encontrei-o aqui: link

commit 34b4a4a624bafe089107966a6c56d2a1aca026d4
Author: Christoph Hellwig <hch@xxxxxx>
Date:   Sun Aug 14 17:33:59 2005 -0700

    [NETFILTER]: Remove tasklist_lock abuse in ipt{,6}owner

    Rip out cmd/sid/pid matching since its unfixable broken and stands in the
    way of locking changes to tasklist_lock.

    Signed-off-by: Christoph Hellwig <hch@xxxxxx>
    Signed-off-by: Patrick McHardy <kaber@xxxxxxxxx>
    Signed-off-by: David S. Miller <davem@xxxxxxxxxxxxx>


It's a little late to come with "I need this" 5 years after the fact.

>Is there any alternative for this? I mean to set up a static rule that
>assigns specific command-line netfilter acls?

SELinux, SNET, or other LSMs.

Me desculpe se não parece útil. Isso é o melhor que posso fazer. Eu não sou tão bom com coisas do iptables.