资源描述：
《linux 2.6.19.x内核编译配置选项简介(2)》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。
1、Linux2.6.19.x内核编译配置选项简介(2)SecurityMarking对网络包进行安全标记,类似于nfmark,但主要是为安全目的而设计,如果你不明白的话就别选Networkpacketfiltering(replacesipchains)Netfilter可以对数据包进行过滤和修改,可以作为防火墙("packetfilter"或"proxy-based")或网关(NAT)或代理(proxy)或网桥使用.选中此选项后必须将"Fastswitching"关闭,否则将前功尽弃Networkpacketfilteringde
2、bugging仅供开发者调试Netfilter使用BridgedIP/ARPpacketsfiltering如果你希望使用一个针对桥接的防火墙就打开它CoreNetfilterConfiguration核心Netfilter配置(当包流过Chain时如果match某个规则那么将由该规则的target来处理,否则将由同一个Chain中的下一个规则进行匹配,若不match所有规则那么最终将由该Chain的policy进行处理)Netfilternetlinkinterface允许Netfilter在与用户空间通信时使用新的netlin
3、k接口.netlinkSocket是Linux用户态与内核态交流的主要方法之一,且越来越被重视NetfilterNFQUEUEoverNFNETLINKinterface通过NFNETLINK接口对包进行排队NetfilterLOGoverNFNETLINKinterface通过NFNETLINK接口对包记录.该选项废弃了ipt_ULOG和ebg_ulog机制,并打算在将来废弃基于syslog的ipt_LOG和ip6t_LOG模块Layer3IndependentConnectiontracking独立于第三层的链接跟踪,通过广义
4、化的ip_conntrack支持其它非IP协议的第三层协议NetfilterXtablessupport如果你打算使用ip_tables,ip6_tables,arp_tables之一就必须选上"CLASSIFY"targetsupport允许为包设置优先级,一些排队规则(atm,cbq,dsmark,pfifo_fast,htb,prio)需要使用它"CONNMARK"targetsupport类似于"MARK",但影响的是连接标记的值"DSCP"targetsupport允许对ip包头部的DSCP(Differentiated
5、ServicesCodepoint)字段进行修改,该字段常用于Qos"MARK"targetsupport允许对包进行标记(通常配合ip命令使用),这样就可以改变路由策略或者被其它子系统用来改变其行为"NFQUEUE"targetSupport用于替代老旧的QUEUE(iptables内建的target之一),因为NFQUEUE能支持最多65535个队列,而QUEUE只能支持一个"NOTRACK"targetsupport允许规则指定哪些包不进入链接跟踪/NAT子系统"SECMARK"targetsupport允许对包进行安全标记
6、,用于安全子系统"CONNSECMARK"targetsupport针对链接进行安全标记,同时还会将连接上的标记还原到包上(如果链接中的包尚未进行安全标记),通常与SECMARKtarget联合使用"comment"matchsupport允许你在iptables规则集中加入注释"connbytes"per-connectioncountermatchsupport允许针对单个连接内部每个方向(进/出)匹配已经传送的字节数/包数"connmark"connectionmarkmatchsupport允许针对每个会话匹配先前由"CO
7、NNMARK"设置的标记值"conntrack"connectiontrackingmatchsupport连接跟踪匹配,是"state"的超集,它允许额外的链接跟踪信息,在需要设置一些复杂的规则(比如网关)时很有用"DCCP"protocolmatchsupportDCCP是打算取代UDP的新传输协议,它在UDP的基础上增加了流控和拥塞控制机制,面向实时业务"DSCP"matchsupport允许对IP包头的DSCP字段进行匹配"ESP"matchsupport允许对IPSec包中的ESP头进行匹配,使用IPsec的话就选上吧"
8、helper"matchsupport加载特定协议的连接跟踪辅助模块,由该模块过滤所跟踪的连接类型的包,比如ip_conntrack_ftp模块"length"matchsupport允许对包的长度进行匹配"limit"matchsupport允许
