9424 2006-04-18 00:44:08 +0400 некоректное преобразование флага tcp-syn из читабельного формата в формат iptables 2006-09-17 10:58:24 +0400 1 1 4 Development Sisyphus etcnet unstable all Linux CLOSED FIXED P2 normal --- 1 birukov hiddenman ldv mike rider sem shaba qa-sisyphus oldest_to_newest 37402 0 birukov 2006-04-18 00:44:08 +0400 Пишем: log log-prefix NEW_NOT_SYN tcp not tcp-syn state new Получаем: ERROR: /etc/net/scripts/config-fw: /sbin/iptables -A bad_tcp_packets -t filter - j LOG --log-prefix NEW_NOT_SYN --protocol TCP ! -mtcp --syn -mstate --state NEW Вместо "--syn" написано "-mtcp --syn" 37405 1 pilot 2006-04-18 09:07:09 +0400 Назначаю Андрею. 37438 2 hiddenman 2006-04-19 16:26:25 +0400 Мда, тут сложная ситуация. Я думал, что я избавился от такого, а оказалось, что нет :( Подробности позже. 37439 3 hiddenman 2006-04-19 16:53:12 +0400 В общем, нужно тестировать, такие ситуации еще вылезут. Я думал даже отдельные правила сделать для всех отрицаний, потому как iptables непредсказуемо себя ведет. В данном случае, если не указать --protocol tcp, то он вообще падает с Unknown error 42949672, так что убирают -mtcp. При этом обязательно нужно будет указывать протокол tcp в правиле. 37443 4 pilot 2006-04-19 21:55:09 +0400 RESOLVED FIXED? Если ты об explicit match, то я думал, что неопределённостей нет. И сам не встречал пока. 37444 5 hiddenman 2006-04-19 22:10:03 +0400 Да проблема в том, что получается: ! -mtcp --syn а нужно: -mtcp ! --syn Для этого и хотел написать еще отрицания для всего. Чтобы правило not syn преобразовывалось в это самое -mtcp ! --syn Попробовал ! --syn при отсутствующем --protocol TCP и iptables падает, я выше писал. Поэтому остался одни правильный вариант, когда нужно указывать протокол и когда нет -mtcp. То бишь, сейчас: drop tcp not tcp-syn будет преобразовываться в -j DROP --protocol TCP ! --syn и будет работать :)