tcpdumpはTAPインターフェースから着信パケットを見ることができますが、iptablesは見えないのはなぜですか？

Question 1

これは追加の推測です。これが役に立つことを願っていますが、間違っている可能性があります。

tap0には、カーネルネットワークスタックの終わりとプログラムインタフェースの終わりの2つの端があります。 "nicserver"を提供するためにtap0を使用している場合、Tapデバイスは意図した方法で接続するためにプログラムインターフェイスを使用しないようです。代わりに、nicserver はネットワークスタック側でのみ書き込み、プログラムインタフェース側ではアプリケーションを読み取らないため、最終的にデバイスキューがオーバーフローします。これは、ドロップされたパケットについて説明します。また、iptables の結果を記述できるパケットは転送されません。

私の意見では、tap0でtcpdumpキャプチャを許可すると、実際にはtap0のプログラムインターフェイスの側面に接続され、組み込み、パケットが表示されます。インターネットで検索しましたが、この動作を確認するソースが見つかりませんでした。この理論に反論するには、tap0をキャプチャして、パケット損失とiptablesログにどのような影響があるかを確認してください。

最後に、元の質問に対する提案：ループバックデバイスを使用するのはどうですか？このように：

nicserver -p 7801 -a lo

Answer

これは追加の推測です。これが役に立つことを願っていますが、間違っている可能性があります。

tap0には、カーネルネットワークスタックの終わりとプログラムインタフェースの終わりの2つの端があります。 "nicserver"を提供するためにtap0を使用している場合、Tapデバイスは意図した方法で接続するためにプログラムインターフェイスを使用しないようです。代わりに、nicserver はネットワークスタック側でのみ書き込み、プログラムインタフェース側ではアプリケーションを読み取らないため、最終的にデバイスキューがオーバーフローします。これは、ドロップされたパケットについて説明します。また、iptables の結果を記述できるパケットは転送されません。

私の意見では、tap0でtcpdumpキャプチャを許可すると、実際にはtap0のプログラムインターフェイスの側面に接続され、組み込み、パケットが表示されます。インターネットで検索しましたが、この動作を確認するソースが見つかりませんでした。この理論に反論するには、tap0をキャプチャして、パケット損失とiptablesログにどのような影響があるかを確認してください。

最後に、元の質問に対する提案：ループバックデバイスを使用するのはどうですか？このように：

nicserver -p 7801 -a lo

Question 2

これiptable テーブルあなたが印刷しているのはフィルターテーブル。

これフィルターチェックリストマッチルーティング決定が行われた後にのみ可能です。

このブログの図を確認してください。 https://www.garron.me/en/linux/iptables-manual.html

トラフィックを転送するときにパケット数が増えるかどうかを確認するには、別のテーブルを確認してください。

iptables -nvL -t raw;
iptables -nvL -t nat;
iptables -nvL -t mangle;

Answer

これiptable テーブルあなたが印刷しているのはフィルターテーブル。

これフィルターチェックリストマッチルーティング決定が行われた後にのみ可能です。

このブログの図を確認してください。 https://www.garron.me/en/linux/iptables-manual.html

トラフィックを転送するときにパケット数が増えるかどうかを確認するには、別のテーブルを確認してください。

iptables -nvL -t raw;
iptables -nvL -t nat;
iptables -nvL -t mangle;

tcpdumpはTAPインターフェースから着信パケットを見ることができますが、iptablesは見えないのはなぜですか？

答え1

答え2

関連情報