RootForum Community

Grüß euch,

ich arbeite gerade mit iptables und versuche eine entsprechende Regel zu schreiben die einer Zeile benötigt und auf mehrere IP-Adressen greift.

Beispiel: ich zähle den ausgehenden traffic nur dann, wenn er nicht an 192.168.0.0/24 oder IP X geht, da diese Server mir gehören.
Leider komm ich da auf keinen grünen Zweig, da iptables keine doppelten -d Flags erlaubt, die IPs nicht mit Komma trennbar oder gar wie bei den Ports die Range mit Doppelpunkt eingestellt werden kann.

Ich weis dass es die Möglichkeit gäbe allen Traffic zu zählen, dann den Traffic der an 192.168.0.0./24 fließt, dann den der an IP X geht und diese Resultate vom Gesamttraffic abziehen, jedoch wär mir eine einzel Anweisung lieber. Dann muss ich nicht herumrechnen ;)

Habt ihr da ideen? Danke und lg

Weshalb willst du das unbedingt in eine Zeile packen?

ich will das ganze danach automatisieren per script. und da ist es einfacher eine einzelne Zeile zu verarbeiten als 20. insofern wäre es eine art bequemlichkeit

Du willst die Netfilter-Regeln danach mit einem Skript parsen? Weil bei der Generierung macht es wirklich keinen Unterschied, ob du 1 oder 100 Zeilen schreiben lässt.

ja genau.
die generierung könnte man ja ganz einfach mit einem script erledigen, aber es geht ums parsen.
wenn ich 20 einträge hab muss ich dann erstmal identifizieren welcher eintrag was bedeutet und entsprechend verarbeiten.
da wäre mir persönlich eine einzelne regel lieber

Dann ist dein Parser aber sehr speziell. ;)

Zurück zum Thema: Ich denke nicht, dass das geht. So ist das iptables-Frontend einfach nicht aufgebaut. Eine Regel pro Aufruf und fertig.

questionaire wrote:wenn ich 20 einträge hab muss ich dann erstmal identifizieren welcher eintrag was bedeutet und entsprechend verarbeiten.

Das musst Du ja ohnehin tun, oder wolltest Du etwa auf eines der wichtigsten Dinge beim Programmieren, die Validierung des Input, verzichten? Und ob diese Funktion nun einmal, zwanzigmal oder hundertmal durchlaufen wird, spielt nur bei zeit- und speicherkritischen Anwendungen eine Rolle und dort setzt man gar nicht erst Linux ein. Also validiere den Input und spare Dir dadurch ein Sicherheitsproblem...