是否可以从 iptables 调用外部程序来限定到达的数据包？

Question

我希望 iptables 在特定数据包到达时调用我自己的程序，将数据包主体传递给它，并根据返回的结果改变行为。这可能吗？如何实现？

Answer 1

iptables 是控制 Linux 防火墙的用户空间应用程序。名为 netfilter 的 Linux 防火墙是一个内核钩子，它对接收到的流量执行特定操作，并且在收到数据包时不能调用任何应用程序。

您可以使用模块（目标）NFQUEUE将匹配的数据包排队，以便用户应用程序接收进一步处理。