并行处理系统结构 Linux内核 之 menuconfig各个选项介绍[转](13)

允许对包进行标记(通常配合ip命令使用),这样就可以改变路由策略或者被其它子系统用来改变其行为

"NFQUEUE" target Support

用于替代老旧的QUEUE(iptables内建的target之一),因为NFQUEUE能支持最多65535个队列,而QUEUE只能支持一个

"NOTRACK" target support

允许规则指定哪些包不进入链接跟踪/NAT子系统

"SECMARK" target support

允许对包进行安全标记,用于安全子系统

"CONNSECMARK" target support

针对链接进行安全标记,同时还会将连接上的标记还原到包上(如果链接中的包尚未进行安全标记),通常与SECMARK target联合使用

"comment" match support

允许你在iptables规则集中加入注释

"connbytes" per-connection counter match support

允许针对单个连接内部每个方向(进/出)匹配已经传送的字节数/包数

"connmark" connection mark match support

允许针对每个会话匹配先前由"CONNMARK"设置的标记值

"conntrack" connection tracking match support

连接跟踪匹配,是"state"的超集,它允许额外的链接跟踪信息,在需要设置一些复杂的规则(比如网关)时很有用

"DCCP" protocol match support

DCCP是打算取代UDP的新传输协议,它在UDP的基础上增加了流控和拥塞控制机制,面向实时业务

"DSCP" match support

允许对IP包头的DSCP字段进行匹配

"ESP" match support

允许对IPSec包中的ESP头进行匹配,使用IPsec的话就选上吧

"helper" match support

加载特定协议的连接跟踪辅助模块,由该模块过滤所跟踪的连接类型的包,比如ip_conntrack_ftp模块

"length" match support

允许对包的长度进行匹配

"limit" match support

允许根据包的进出速率进行规则匹配,常和"LOG target"配合使用以抵抗某些Dos攻击

"mac" address match support

允许根据以太网的MAC进行匹配,常用于无线网络环境

"mark" match support

允许对先前由"MARK"标记的特定标记值进行匹配

IPsec "policy" match support

使用IPsec就选上吧

Multiple port match support

允许对TCP或UDP包同时匹配多个端口(通常情况下只能匹配一个端口)

"physdev" match support

允许对到达的或将要离开的物理桥端口进行匹配

"pkttype" packet type match support

允许对封包目的地址类别(广播/群播/直播)进行匹配

"quota" match support

允许对总字节数的限额值进行匹配

"realm" match support

允许对iptables中的路由子系统中的realm值进行匹配

"sctp" protocol match support

流控制传输协议(SCTP),十年以后也许能够普及的东西

"state" match support

这是对包进行分类的有力工具,它允许利用连接跟踪信息对连接中处于特定状态的包进行匹配

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-66397-13.html