IpTables Rope

ROPE este un "modul meci" pentru Linux iptables care permite pachetelor să fie acoperite folosind reguli foarte flexibil, scrise într-un simplu limbaj de scripting proiectat-scop. A fost scrisă inițial pentru a oferi sprijin pentru următoarea etapă a proiectului P2PWall pentru controlul diverse stiluri de trafic aplicare peer-to-peer, dar este mult mai largă decât aceasta în e utilizări posibile. Vezi pagina de bază pentru o prezentare în stil tutorial.
Modulele meci de iptables permit norme să ia măsuri, în funcție de faptul dacă pachetele se potrivesc anumite criterii sau nu. Distribuția standard a netfilter / iptables ofera o gama de module utile de acest tip. Acestea permit de obicei adrese și porturi etc tipuri de protocol (TCP sau UDP), sursă și destinație să fi verificate.
Există, de asemenea, un set de "extra" interesant decât poate fi compilate în kernel pentru a oferi unele caracteristici extinse de potrivire de pachete. Un astfel de exemplu este modulul "string", care permite pachetelor să fie acoperite pe baza existenței (sau nu) de șiruri specificate oriunde în porțiunea sarcină utilă de date de pachete. Există o serie de alte comori ascunse care pot fi utilizate pentru a extinde în mod semnificativ caracteristicile sistemului.
Pentru a utiliza ROPE pentru a construi o regulă meci, trebuie mai întâi să scrie scriptlet ROPE care codifică criteriile de meci. Ca un exemplu, am putea uita pentru "Content-lungime" antetul unei descărcare HTTP și verificați dacă lungimea nu depășește 1000000 bytes folosind următorul script ..
Acest script are următoarele etape pentru a face să funcționeze:
1. Căutări cu o încărcătură utilă de date a pachetului pentru string "Content-lungime:", dar ignora caz scrisoare, deoarece caută.
2. În cazul în care șirul nu este găsit, scriptul se oprește și se întoarce un statut "nu corespund" la netfilter.
3. Dacă este găsit șirul, scenariul ia cifre că urmează, și le stochează ca un șir în registrul $ n.
4. expresie intr $ n este convertit la un număr întreg și comparate numărul 1000000. Dacă $ n este mare decât 1000000 apoi scenariul se termină și returnează un statut "potrivire" pentru iptables.
   5. În caz contrar, script-ul se termină cu un statut "nu corespund".
Limba în care script-uri de acest gen sunt scrise se bazează pe ideea de notație ReversePolish dar a extins să se ocupe de conceptul de AnchorBrackets. Limbajul este documentat în detaliu în LanguageReference.