一. ebtables简介

        ebtables的全称是Ethernet bridge frame table administration
。ebtables是一个应用程序,用于设置和维护规则表,这些表中的规则用于检查以太网帧。和iptables是类似的,但是使用比iptables使用更简单。

        ebtables有三个表,分别是filter,nat,broute。filter是命令默认操作的表,使用"-t table
"来指定要操作的表,-t参数也必须是ebtables命令行的第一个参数。

        ebtables也有链,和iptables一样,当数据帧匹配到链中的一条规则时,数据帧将按照该规则被处理,如果不匹配,将测试链中的下一条规则。

       
ebtables和iptables一样,有多个目标,分别是ACCEPT,DROP,CONTINUE和RETURN。ACCEPT意味着让数据帧通过,DROP意味着数据帧将被丢弃,在BROUTING链中,ACCEPT和DROP代表不同的含义。CONTINUE意味着下一条规则被检查,RETURN表示停止遍历此链,跳回到调用该链的链的下一条规则。

二. ebtables命令

1. 基本命令

-A,--append:

        在指定的链后追加一条规则。

-D,--delete:

       
在指定的链中删除一条规则。删除有两种方法,第一种是通过序号删除,语法是start_nr[:end_nr]。当start_nr和end_nr都指定时,则删除它们之间包括自己的所有规则,如果end_nr被忽略,则删除从start_nr开始的所有规则。第二种是通过指定要删除指令的完整形式。如果有多条相同的指令,一次执行只删除其中第一条。

-I,--insert:

        插入一条规则到指定的链中。用法同iptables。

-P,--policy:

        修改指定链的默认目标,可以是ACCEPT,DROP和RETURN。用法同iptables。

-F,--flush:

        清空指定的链。如果不指定链,则指定的表的所有链都被清空。用法同iptables。

-Z,--zero:

        设置指定链的计数为0。用法同iptables。

-L,--list:

        列出指定链的所有规则,如果不指定链,则是所有链。

-N,--new-chain:

        创建一条新的用户自定义链。用法同iptables。

-X,--delete-chain:

        删除指定的用户自定义链。

-E,--rename-chain:

        重命名指定的链。举例如下:

~ # ebtables -t nat -E PREROUTING PREFORWARDING
~ # ebtables -t nat -L
Bridge table: nat

Bridge chain: PREFORWARDING, entries: 0, policy: ACCEPT

Bridge chain: OUTPUT, entries: 0, policy: ACCEPT

Bridge chain: POSTROUTING, entries: 0, policy: ACCEPT

2. 规则使用规范

-p,--protocol [!] protocol:

       
指定帧的协议。这个使用16进制数指定,要高于0x0600,或者名字,例如ARP,也可以是LENGTH。当使用名字时,/etc/ethertypes文件必须存在。

-i,--interface [!] name:

       
帧被接收的接口。此选项在INPUT,FORWARD,PREROUTING和BROUTING才有用。如果接口名后面以"+"结尾,以该name开始的接口名都将被匹配。

--logical-in [!] name:

       
接收帧的(逻辑)桥接口。此选项在INPUT,FORWARD,PREROUTING和BROUTING才有用。如果接口名后面以"+"结尾,以该name开始的接口名都将被匹配。

-o,--out-interface [!] name:

       
发送帧的接口。此选项在OUTPUT,FORWARDING和POSTROUTING才有用。如果接口名后面以"+"结尾,以该name开始的接口名都将被匹配。

--logical-out [!] name:

        发送数据帧的(逻辑)桥接口。对应的是--logical-in。

-s,--source [!] address[/mask]:

        源MAC地址。address和mask用6个16进制的数,中间用冒号隔开的数组成。可选的MAC地址有单播,多播和广播和BGA(bridge
Group Address):

Unicast=00:00:00:00:00:00/01:00:00:00:00:00

Multicast=01:00:00:00:00:00/01:00:00:00:00:00

Broadcast=ff:ff:ff:ff:ff:ff/ff:ff:ff:ff:ff:ff

BGA=01:80:c2:00:00:00/ff:ff:ff:ff:ff:ff

-d,--destination:

        目的MAC地址,相对应的是-s选项。

3. ebtables 扩展用法

        ebtables扩展是通过动态库,加载到用户空间工具中的。不要像iptables那样使用"-m"选项明确加载,这些扩展也是内核支持的模块,是对ebtables的补充。

among:将一个MAC地址或MAC/IP地址对与一个MAC地址和MAC/IP地址对的列表相匹配。

        列表条目有以下格式:XX:XX:XX:XX:XX:XX[=ip.ip.ip.ip][,]。多个列表条目用逗号隔开,指定与MAC地址对应的IP地址是可选的。可以指定具有相同MAC地址但不同IP地址(反之亦然)的多个MAC/IP地址对。如果MAC地址与列表中的任何条目不匹配,则该帧不符合该规则(除非使用了"!")

--among-dst [!] list:

        将目的MAC地址与给定的列表进行比较。如果以太网帧有IPv4或ARP类型,那么与列表中的MAC/IP目标地址对进行比较。

--among-src [!] list:

        将源MAC地址与给定的列表进行比较。如果以太网帧具有IPv4或ARP类型,那么与列表中的MAC/IP源地址对进行比较

--among-dst-file [!] file:

        同--among-dst,只不过是从文件中读取。

--among-src-file [!] file:

        同--among-src,只不过是从文件中读取。

arp:指定(R)ARP字段,协议必须指定为ARP或RARP。

--arp-opcode [!] opcode:

        (R)ARP操作码(十进制或字符串),如下:
opcode strings: 1 = Request 2 = Reply 3 = Request_Reverse 4 = Reply_Reverse 5
= DRARP_Request 6 = DRARP_Reply 7 = DRARP_Error 8 = InARP_Request 9 = ARP_NAK
hardware type string: 1 = Ethernet protocol type string: see /etc/ethertypes
--arp-ptype [!] protocol type:

        指定(R)ARP使用的协议类型(十六进制或字符串IPv4,表示0x0800)。大多数(R)arp数据包的协议类型为IPv4。

--arp-ip-src [!] address[/mask]:

        指定(R)ARP的源IP地址。

--arp-ip-dst [!] address[/mask]:

        指定(R)ARP的目的IP地址。 

--arp-mac-src [!] address[/mask]:

        指定 (R)ARP的源MAC地址。

--arp-mac-dst [!] address[/mask]:

       指定 (R)ARP的目的MAC地址。 

ip:指定IPv4字段,协议必须指定为IPv4

--ip-source [!] address[/mask]:

        指定源IP地址。

--ip-destination:

        指定目的IP地址。

--ip-tos [!] tos:

        指定IP数据包的Tos值,16进制格式。

--ip-protocol [!] protocol:

        指定IP协议。必须为TCP,UDP,DCCP或SCTP。

--ip-source-port [!] port1[:port2]:

       
指定IP协议的源端口或端口范围,6(TCP),17(UDP),33(DCCP)或132(SCTP)。如果port1省略,则使用0:port2,如果port2省略,则使用1:65535。

--ip-destination-port [!] port1[:port2]:

        目的端口或端口范围。用法同--ip-source-port。

ip6:指定IPv4字段,协议必须指定为IPv6

--ip6-source [!] address[/mask]:

        指定源IPv6地址。

--ip6-destination [!] address[/mask]:

        指定目的IPv6地址。

--ip6-class [!] tclass:

        指定IPv6 tc值,16进制数。

--ip6-protocol [!] protocol:

        指定IP协议,同--ip-protocol。

--ip6-source-port:

        指定源端口,同--ip-source-port。

--ip6-destination-port:

        指定目的端口,同--ip-destination-port。

--ip6-icmp-type [!] {type[:type]/code[:code]|typename}:

        指定IPv6的ICMP类型和代码。

vlan:指定802.1Q TCI(Tag Control Information)字段,协议必须指定为802_1Q (0x8100)

--vlan-id [!] id:

        指定VLAN ID。10进制数0-4095。

--vlan-prio [!] prio:

        指定优先级字段,10进制数0-7。此时VLAN ID应该被设置为0。

--vlan-encap [!] type:

        封装的以太网帧类型/长度。指定为十六进制数字,从0x0000到 0xFFFF或/etc/ethertypes的符号名称。

limit:该模块使用令牌桶过滤器以有限的速度进行匹配。

        使用这个扩展的规则将匹配,直到达到这个限制。它可以与--日志观察器一起使用,例如,提供有限的日志记录。参数有--limit和--limit-burst,
它的用途与iptables的限制匹配相同。

三. 总结

       
本文只要介绍了ebtables的作用以及用法。ebtables中有三张表filter,nat,broute,六条链INPUT,FORWARD,OUTPUT,PREROUTING,POSTROUTING和BROUTING。ebtables不仅包含了一些常用的规则参数,例如-p,-i,-o,-s,-d等,还有一些扩展模块,例如among,arp,ip,vlan等等。

技术
今日推荐
阅读数 133
下载桌面版
GitHub
百度网盘(提取码:draw)
Gitee
云服务器优惠
阿里云优惠券
腾讯云优惠券
华为云优惠券
站点信息
问题反馈
邮箱:ixiaoyang8@qq.com
QQ群:766591547
关注微信