linux - iptables中有关 “-set-xmark”的一些问题

我有以下规则:

-A PREROUTING -d 10.228.20.15/32 -p tcp -m tcp --dport 80--tcp-flags FIN,SYN,RST,ACK SYN -j MARK --set-xmark 0x70/0xffffffff

手册文档解释--set-xmark如下:

将掩码和XOR值给定的位清零到ctmark中。

英语不是我的母语。任何人都可以帮助解释将ctmark设置为什么值？
零退出意味着什么？举一个例子，将不胜感激。

最佳答案

因此语法为--set-xmark value/mask。结果操作为:

ctmark = (ctmark AND NOT mask) XOR value

零输出对应于(ctmark AND NOT mask):如果设置了mask中的某个位，则ctmark中的相应位将为零(在XOR之前)。

手册页还指出:

--and-mark bits
    Binary AND the  ctmark  with  bits.  (Mnemonic  for  --set-xmark
    0/invbits, where invbits is the binary negation of bits.)

--or-mark bits
    Binary  OR  the  ctmark  with  bits.  (Mnemonic  for --set-xmark
    bits/bits.)

--xor-mark bits
    Binary XOR the  ctmark  with  bits.  (Mnemonic  for  --set-xmark
    bits/0.)

您可以根据这些定义验证上述操作:

--and-mark bits == --set-xmark 0/invbits
     ctmark AND bits = (ctmark AND NOT invbits) XOR 0
     -> bits = NOT invbits
     -> anything XOR 0 = anything
     so: ctmark AND bits = ctmark AND NOT NOT bits = ctmark AND bits

--or-mark bits == --set-mark bits/bits
     ctmark OR bits = (ctmark AND NOT bits) XOR bits
     -> should be obvious based on boolean logic

--xor-mark bits == -set-mark bits/0
     ctmark XOR bits = (ctmark AND NOT 0) XOR bits
     -> anything AND NOT 0 = anything