linux - ペイロードに特定のサブストリングを含むパケットをドロップするiptableルール

Question

TCPまたはUDPペイロードに特定のサブ文字列が含まれているパケットが発信、着信、または転送されているかどうかに関係なく、パケットをドロップするルールを作成しようとしています。

どのように私はそれをすることになっていますか？

Answer 1

Netfilter の「String match support」を有効にしてコンパイルされたカーネルが必要です。

その後、次のことができます

iptables -A INPUT -m string --algo bm --string "test" -j DROP
iptables -A OUTPUT -m string --algo bm --string "test" -j DROP
iptables -A FORWARD -m string --algo bm --string "test" -j DROP

結果を確認してください

iptables -L