48.9.3.4.4. 追加の一致オプションモジュール
他の一致オプションは、iptables コマンドでロードされるモジュールで利用できます。
一致オプションモジュールを使用するには、
-m <module-name> を使用して 名前でモジュール を読み込みます。< module-name > はモジュールの名前になります。
デフォルトでは、多くのモジュールが利用できます。モジュールを作成して、追加機能を提供することもできます。
最も一般的に使用されるモジュールの一部のリストを以下に示します。
limitmodule: 特定のルールに一致するパケット数を制限します。LOG ターゲットと併用すると、limitモジュールにより、一致するパケットが繰り返しメッセージまたはアップシステムリソースでシステムログがいっぱいになるのを防ぐことができます。LOG ターゲットの詳細については、「ターゲットオプション」 を参照してください。limitモジュールは、以下のオプションを有効にします。--limit- <value>/<period> ペアとして指定される特定の期間の最大一致数を設定します。たとえば、--limit 5/hourを使用すると、1 時間あたり 5 つのルール一致が許可されます。期間は、秒、分、時間、または日で指定できます。数字と時間修飾子が使用されていない場合、デフォルト値の3/hourが想定されます。--limit-burst- 一度にルールに一致することのできるパケット数に制限を設定します。このオプションは整数として指定され、--limitオプションと併用する必要があります。値の指定がない場合は、デフォルト値の 5 (5)が想定されます。
stateモジュール - 状態の一致を有効にします。stateモジュールは、以下のオプションを有効にします。--state- 次の接続状態のパケットを照合します。ESTABLISHED- 一致するパケットは、確立された接続内の他のパケットに関連付けられます。クライアントとサーバー間の接続を維持する場合は、この状態を受け入れる必要があります。INVALID- 一致するパケットを既知の接続に関連付けることはできません。NEW- 一致するパケットは、新しい接続を作成するか、以前に確認されていない双方向接続の一部です。サービスへの新しい接続を許可する場合は、この状態を受け入れる必要があります。RELATED: 一致するパケットは、既存の接続への何らかの方法で関連する新しい接続を開始します。FTP の例として、制御トラフィック（ポート 21）に 1 つの接続を使用し、データ転送に別の接続（ポート 20）を使用します。
これらの接続状態は、-m state --state INVALID,NEW などのコンマで区切って、相互に組み合わせることができます。
- MAC
モジュール- ハードウェアの MAC アドレス一致を有効にします。macモジュールは、以下のオプションを有効にします。--mac-source- パケットを送信するネットワークインターフェイスカードの MAC アドレスと一致します。ルールから MAC アドレスを除外するには、--mac-sourcematch オプションの後に感嘆符(!)を追加します。
モジュールで利用可能な他の一致オプションについては、iptables の man ページを参照してください。
