netfilter/iptables FAQ

Harald Welte <laforge@netfilter.org>
, Tłumaczenie: Maciej Sołtysiak solt@dns.toxicfilms.tv

1. Pytania ogólne

• 1.1 Skąd mogę wziąć netfilter/iptables?
• 1.2 Czy jest wersja netfiltra na Linuksa 2.2?
• 1.3 Czy jest moduł ICQ conntrack/NAT?
• 1.4 Co się stało z modułami ip_masq_vdolive / ip_masq_quake?
• 1.5 O co chodzi z patch-o-matic i jak to się używa?
• 1.6 Gdzie znajdę ipnatctl i więcej informacji na ten temat?
• 1.7 Czy iptables/ip6tables jest w stanie zrobić IPv6 NAT?
• 1.8 Czy są plany obsługi SIP?
• 1.9 Czy netfilter/iptables wspiera failover/HA? Does netfilter/iptables support failover/HA?

2. Problemy podczas kompilacji

• 2.1 Nie mogę skompilować iptables-1.1.1 z jądrem >= 2.4.0-test4
• 2.2 Nie mogę skompilować iptables 1.1.0 z ostatnimi jądrami (>= 2.3.99-pre8)
• 2.3 Niektóre łaty patch-o-matic z iptables-1.2.1a nie działają z jądrem >= 2.4.4
• 2.4 ipt_BALANCE, ip_nat_ftp, ip_nat_irc, ipt_SAME, ipt_NETMAP nie kompilują się
• 2.5 Mam problemy z jądrem z łatami Alana Coxa 2.4.x-acXX
• 2.6 ERROR: Invalid option KERNEL_DIR=/usr/src/linux-2.4.19

3. Problemy podczas pracy

• 3.1 NAT: X dropping untracked packet Y Z aaa.aaa.aaa.aaa -> 224.bbb.bbb.bbb
• 3.2 NAT: X dropping untracked packet Y Z aaa.aaa.aaa.aaa -> bbb.bbb.bbb.bbb
• 3.3 ip_conntrack: max number of expected connections N of M reached for aaa.aaa.aaa.aaa -> bbb.bbb.bbb.bbb
• 3.4 foo
• 3.5 Nie udaje mi się użyć netfiltra razem z Linux bridging code
• 3.6 Moduł IRC nie obsługuje DCC RESUME
• 3.7 Jak działa SNAT do wielu adresów?
• 3.8 ip_conntrack: maximum limit of XXX entries exceeded
• 3.9 Jak wylistować śledzone / maskaradowane połączenia, podobnie jak 'ipchains -L -M' w 2.2.x
• 3.10 Jak wylistować dostępne tabele IP?
• 3.11 iptables-save / iptables-restore z iptables-1.2 wywala segfaulty
• 3.12 Mijają wieki zanim iptables -L wyświetli regułki
• 3.13 Jak zrobić by target LOG nie logował na konsolę?
• 3.14 Jak zbudować transparent proxy używając squida i iptables?
• 3.15 Jak używać target LOG / Jak mogę LOGowac i DROPowac?
• 3.16 Jak mogę zatrzymać robaka XYZ używajać netfiltra ?
• 3.17 jądro loguje: Out of windows data xxx
• 3.18 Dlaczego system śledzenia połączeń (connection tracking) śledzi połączenia UNREPLIED (bez odpowiedzi) z dużym timeoutem?
• 3.19 Dlaczego nie zaimplementowano opcji 'iptables -C' (--check) ?
• 3.20 Czemu nie mogę użyć REJECT w łańcuchach PREROUTING ?
• 3.21 'iptables: Invalid argument' po aktualizacji jądra (tabela nat)
• 3.22 Dlaczego nie mogę używać REJECT w łańcuchu PREROUTING?

4. Pytania o rozwój netfiltra

• 4.1 Nie rozumiem jak używać target QUEUE z przestrzeni użytkownika (userspace)
• 4.2 Moja aplikacja oparta na libipq zgłasza "Failed to receive netlink message: No buffer space available"
• 4.3 Chcę wnieść wkład w źródła, ale nie wiem jak
• 4.4 Naprawiłem błąd lub napisałem nowy moduł. Co mam zrobić?