c - iptables-restore v1.4.12 : iptables. xslt 创建错误输出:无法加载匹配 `ptcp'

Question

我正在尝试将数据从 xml 加载到 iptables。我正在使用以下命令:

xsltproc /usr/share/iptables/iptables.xslt myiptable.xml | iptables-restore

但是我得到这个错误

iptables-restore v1.4.12: Couldn't load match `ptcp':No such file or directory

我比较了 ip-tables-save 和 xsltproc/usr/share/iptables/iptables.xslt myiptable.xml 的输出，我得到了这个

xsltproc/usr/share/iptables/iptables.xslt myiptable.xml 的输出:

-A INPUT -m ptcp -m tcp --dport 22 -j ACCEPT

ip-tables-save 的输出:

-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

有人可以解释一下发生了什么吗？另外，有没有我可以下载的标准 iptables.xslt 文件？

Answer 1

那么，您的 XSLT 输出在语法上似乎不正确。

所以 -m ptcp -m tcp应该是 -p tcp -m tcp . IIRC -m匹配并且-p是协议(protocol)。

我对此进行了进一步调查

这似乎是/usr/share/iptables/iptables.xslt 中的错误.实际的 XSLT 与 XML 格式不同步，因此输出不可用。

原文iptables.xslt (2011-07-22) 使用

检查匹配扩展的输出

<xsl:if test="name() != 'match'">

但是没有<match>生成的 XML 文件中的元素，因此计算结果始终为真 - 创建 -m ptcp输出(在许多其他错误字符串旁边)。

解决方案:

我重写了 iptables.xslt替换与 conditions 匹配的第一个模板与

<!-- output conditions of a rule but not an action -->
<xsl:template match="iptables-rules/table/chain/rule/conditions/*">
  <!-- <match> is the psuedo module when a match module doesn't need to be loaded and when -m does not need to be inserted -->
  <xsl:choose>
    <xsl:when test="document('ipt-ext.xml')//@name = name()">
      <xsl:text> -m </xsl:text><xsl:value-of select="name()"/>
    </xsl:when>
    <xsl:otherwise>
      <xsl:value-of select="concat(' -',name(),' ')"/>
    </xsl:otherwise>
  </xsl:choose>     
  <xsl:apply-templates select="node()"/>
</xsl:template>

此模板需要在同一目录中的辅助 XML 帮助文件，以识别匹配扩展，这些文件列在我命名为 ipt-ext.xml 的文件中.在 /usr/share/iptables/ 中使用此名称和以下内容创建一个新文件

<?xml version="1.0" encoding="ISO-8859-1"?>
<IPTablesMatchExtensions>
    <IPText name="addrtype" />
    <IPText name="ah" />
    <IPText name="ah" />
    <IPText name="bpf" />
    <IPText name="cluster" />
    <IPText name="comment" />
    <IPText name="connbytes" />
    <IPText name="connlimit" />
    <IPText name="connmark" />
    <IPText name="conntrack" />
    <IPText name="cpu" />
    <IPText name="dccp" />
    <IPText name="devgroup" />
    <IPText name="dscp" />
    <IPText name="dst" />
    <IPText name="ecn" />
    <IPText name="esp" />
    <IPText name="eui64" />
    <IPText name="frag" />
    <IPText name="hashlimit" />
    <IPText name="hbh" />
    <IPText name="helper" />
    <IPText name="hl" />
    <IPText name="icmp" />
    <IPText name="icmp6" />
    <IPText name="iprange" />
    <IPText name="ipv6header" />
    <IPText name="ipvs" />
    <IPText name="length" />
    <IPText name="limit" />
    <IPText name="mac" />
    <IPText name="mark" />
    <IPText name="mh" />
    <IPText name="multiport" />
    <IPText name="nfacct" />
    <IPText name="osf" />
    <IPText name="owner" />
    <IPText name="physdev" />
    <IPText name="pkttype" />
    <IPText name="policy" />
    <IPText name="quota" />
    <IPText name="rateest" />
    <IPText name="realm" />
    <IPText name="recent" />
    <IPText name="rpfilter" />
    <IPText name="rt" />
    <IPText name="sctp" />
    <IPText name="set" />
    <IPText name="socket" />
    <IPText name="state" />
    <IPText name="statistic" />
    <IPText name="string" />
    <IPText name="tcp" />
    <IPText name="tcpmss" />
    <IPText name="time" />
    <IPText name="tos" />
    <IPText name="ttl" />
    <IPText name="u32" />
    <IPText name="udp" />
    <IPText name="unclean" />
</IPTablesMatchExtensions>

---

应用:

从 IPTables 规则到 XML 文件:

sudo iptables-save | iptables-xml -c > myiptable.xml

从 XML 文件回到 IPTables 规则:

xsltproc /usr/share/iptables/iptables.xslt myiptable.xml | sudo iptables-restore

---

测试用例:我用这些 iptables 测试了新样式表规则:

$ sudo iptables-save
# Generated by iptables-save v1.4.12 on Thu May 19 12:00:00 2016
*nat
:PREROUTING ACCEPT [11:568]
:INPUT ACCEPT [1:248]
:OUTPUT ACCEPT [35:2284]
:POSTROUTING ACCEPT [35:2284]
-A PREROUTING -s 192.168.69.9/32 -i eth1 -p tcp -m tcp --dport 80 --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
-A PREROUTING -d 192.168.70.124/32 -i eth1 -p tcp -m tcp --dport 80 --tcp-flags FIN,SYN,RST,ACK SYN -j ACCEPT
COMMIT
# Completed on Thu May 19 12:00:00 2016
# Generated by iptables-save v1.4.12 on Thu May 19 12:00:00 2016
*filter
:INPUT ACCEPT [138:40810]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [135:24836]
-A INPUT -p tcp -m tcp --dport 65002 -j ACCEPT
-A INPUT -s 10.0.0.0/32 -p tcp -m tcp --dport 65003 -j ACCEPT
-A INPUT -d 10.0.0.1/32 -m connbytes --connbytes 1:4 --connbytes-mode bytes --connbytes-dir both -j ACCEPT
COMMIT
# Completed on Thu May 19 12:00:00 2016

然后我使用上面的命令将此输出转换为 XML

sudo iptables-save | iptables-xml -c > myiptable.xml

生成的 XML 文件如下所示:

<iptables-rules version="1.0">
<!-- # Generated by iptables*-save v1.4.12 on Thu May 19 12:00:00 2016 -->
  <table name="nat" >
    <chain name="PREROUTING" policy="ACCEPT" packet-count="3" byte-count="96" >
      <rule >
       <conditions>
PREROUTING          <s >192.168.69.9/32</s>
          <i >eth1</i>
          <p >tcp</p>
        <tcp >
          <dport >80</dport>
          <tcp-flags >FIN,SYN,RST,ACK SYN</tcp-flags>
        </tcp>
       </conditions>
       <actions>
        <ACCEPT  />
       </actions>

      </rule>

      <rule >
       <conditions>
PREROUTING          <d >192.168.70.124/32</d>
          <i >eth1</i>
          <p >tcp</p>
        <tcp >
          <dport >80</dport>
          <tcp-flags >FIN,SYN,RST,ACK SYN</tcp-flags>
        </tcp>
       </conditions>
       <actions>
        <ACCEPT  />
       </actions>

      </rule>

    </chain>
    <chain name="INPUT" policy="ACCEPT" packet-count="0" byte-count="0" />
    <chain name="OUTPUT" policy="ACCEPT" packet-count="8" byte-count="541" />
    <chain name="POSTROUTING" policy="ACCEPT" packet-count="8" byte-count="541" />
  </table>
<!-- # Completed on Thu May 19 12:00:00 2016 -->
<!-- # Generated by iptables*-save v1.4.12 on Thu May 19 12:00:00 2016 -->
  <table name="filter" >
    <chain name="INPUT" policy="ACCEPT" packet-count="127" byte-count="27749" >
      <rule >
       <conditions>
INPUT          <p >tcp</p>
        <tcp >
          <dport >65002</dport>
        </tcp>
       </conditions>
       <actions>
        <ACCEPT  />
       </actions>

      </rule>

      <rule >
       <conditions>
INPUT          <s >10.0.0.0/32</s>
          <p >tcp</p>
        <tcp >
          <dport >65003</dport>
        </tcp>
       </conditions>
       <actions>
        <ACCEPT  />
       </actions>

      </rule>

      <rule >
       <conditions>
INPUT          <d >10.0.0.1/32</d>
        <connbytes >
          <connbytes >1:4</connbytes>
          <connbytes-mode >bytes</connbytes-mode>
          <connbytes-dir >both</connbytes-dir>
        </connbytes>
       </conditions>
       <actions>
        <ACCEPT  />
       </actions>

      </rule>

    </chain>
    <chain name="FORWARD" policy="ACCEPT" packet-count="0" byte-count="0" />
    <chain name="OUTPUT" policy="ACCEPT" packet-count="78" byte-count="6909" />
  </table>
<!-- # Completed on Thu May 19 12:00:00 2016 -->
</iptables-rules>

然后再次从 XML 返回到 iptables

xsltproc /usr/share/iptables/iptables.xslt myiptable.xml | sudo iptables-restore

一切都按预期无缝运行。