). Что касается второго селектора, то если бы мы хотели усложнить себе жизнь, можно было бы записать match u8 0x06 0xff at 9, вместо специального селектора
protocol tcp (здесь число 6 — это номер протокола TCP), в 10-м байте IP-заголовка. С другой стороны, в этом примере мы не использовали специальный селектор, для отбора по биту ACK, просто потому, что такого селектора не существует.
Фильтр, приведенный ниже, является модификацией предыдущего примера. На этот раз не производится проверка длины IP-заголовка. Вы спросите — почему? Потому, что фильтр, приведенный выше, работает только на 32-х битных системах.
>tc filter add dev ppp14 parent 1:0 protocol ip prio 10 u32 \
> match ip protocol 6 0xff \
> match u8 0x10 0xff at nexthdr+13 \
> match u16 0x0000 0xffc0 at 2 \
> flowid 1:3
12.1.3. Селекторы специального назначения.
Следующая таблица содержит перечень селекторов специального назначения, которые автор данного раздела нашел в исходном коде утилиты tc. Они облегчат вам жизнь и повысят удобочитаемость ваших фильтров.
FIXME: таблица находится в отдельном файле selector.html.
FIXME: Она по-прежнему остается на польском языке :-(
FIXME: надо перевести в формат sgml.
Несколько примеров:
># tc filter add dev ppp0 parent 1:0 prio 10 u32 \
> match ip tos 0x10 0xff \
> flowid 1:4
FIXME: шаблон tcp dport, в примере ниже, не работает.
Правило выше отберет пакеты, в которых поле TOS имеет значение 0x10. Поле TOS — это второй байт в IP-заголовке, причем это однобайтовое поле (8 бит). Таким образом, эквивалентный селектор можно было бы записать как: match u8 0x10 0xff at 1. Это наталкивает на мысль, что селекторы специального назначения, внутри фильтров U32, преобразуются в селекторы общего назначения и в таком виде сохраняются в памяти ядра. Отсюда следует другое заключение — селекторы tcp и udp суть есть одно и то же. По этой причине вы не сможете использовать единичный селектор match tcp dport 53 0xffff, для отбора TCP-пакетов, направляющихся на 53-й порт. Этим селектором будут отобраны как TCP-пакеты, так и UDP-пакеты. Вы обязательно должны добавлять селектор типа протокола:
># tc filter add dev ppp0 parent 1:0 prio 10 u32 \
> match tcp dport 53 0xffff \
> match ip protocol 0x6 0xff \
> flowid 1:2