iptables_dscp使用手册

1.问：如何查看帮助文档？
答：执行sh iptables_dscp.sh -h
2.问：如何打标？
答：比如针对tcp协议，目的端口是22的数据包打上dscp标签0x2A.
# sh iptables_dscp.sh -p tcp -r 22 0x2A
Set dscp value with command:
iptables -A POSTROUTING -t mangle -p tcp --dport 22 -j DSCP --set-dscp 0x2A
3.问：如何查看第二条中所设置的规则。

答：执行iptables命令：
# iptables -S POSTROUTING -t mangle(第二条)
-P POSTROUTING ACCEPT
-A POSTROUTING -p tcp -m tcp --dport 22 -j DSCP --set-dscp 0x2a
4.问：如果设置错了，如何删除规则？
答：比如删除第二步中所设置的规则。

第一种方法使用iptables命令只删除一条规则。

# iptables -D POSTROUTING -t mangle -p tcp --dport 22 -j DSCP --set-dscp 0x2A
第二种方法使用iptables命令删除所有规则。

# iptables -F -t mangle
5问：执行下面的命令，出现错误是什么意思。

# sh iptables_dscp.sh -l 22 -r 4444 0x21
Error: Protocol is not set, but you are using local_port/remote_port!
答：如果设置本地端口或者目的端口，则必须设置协议类型。

因为不是所有的协议都有源端口和目的端口的。

比如icmp协议。

修正方法是添加-p参数。

6.问：执行下面的命令，出现错误是什么意思。

# sh iptables_dscp.sh -p tcp -l 22 -r 4444 -v 0x21
Error: '-v' is used with DSCP_Value setting!
答：命令行中指定了-v参数来检查源端口是22 ，目的端口是4444的tcp流是否已经成功
设置dscp值了。

则就不需要再设置dscp值，由此将命令行中的0x21删除，就可以了。

7.问：执行下面的命令，为何程序一直不退出。

# sh iptables_dscp.sh -p tcp -l 22 -r 4444 -v
Capture packets with below command:
tcpdump -nn -v -c 2 tcp and src port 22 and dst port 4444
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes ........
答：这是因为tcpdump必须按照指定的规则捕获数据包，如果捕获不到，则一直执行，程序不退出。

所以，请检查是否有相应的数据包；或者检查参数是否设置错误。

8.问：如何判断检查成功呢？
答：检查成功的话，会有提示。

比如：
#sh iptables_dscp.sh -p tcp -s 192.168.0.116 0x2d(首先打标)
# sh iptables_dscp.sh -p tcp -s 192.168.0.116 -v
Capture packets with below command:
tcpdump -nn -v -c 1 tcp and src host 192.168.0.116
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
14:59:32.766194 IP (tos 0xb4, ttl 64, id 61120, offset 0, flags [DF], proto TCP (6), length 60)
192.168.0.116.32953 > 192.168.0.101.22: Flags [S], cksum 0xd6a0 (correct), seq 1162215245, win 5840, options [mss 1460,sackOK,TS val 24514957 ecr 0,nop,wscale
7], length 0
1 packets captured
2 packets received by filter
0 packets dropped by kernel
Validate Result: OK
9.问：为何打的dscp标是0x2d，而tcpdump看到的tos值是0xb4呢？
答; 因为tos在IP头部占了8位(bit), 而dscp只是tos的高6位。

dscp的值是这个6bit 的16机制数。

而tos是8个bit的16机制数。

所以，看到的结果不同。

但是tos的高6位等于dscp值。

即dscp=tos>>2.
10.问：为何执行下面的验证规则，会提示失败呢？
#sh iptables_dscp.sh -p tcp -r 22 0x2a
#sh iptables_dscp.sh -p tcp -r 22 -v
Capture packets with below command:
tcpdump -nn -v -c 1 tcp and dst port 22
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
14:55:45.802048 IP (tos 0x10, ttl 64, id 62811, offset 0, flags [DF], proto TCP (6), length 100)
192.168.0.101.53371 > 192.168.0.116.22: Flags [P.], cksum 0x9193 (correct), seq 2446306066:2446306114, ack 2929214289, win 107, options [nop,nop,TS val 232661334 ecr 24446132], length 48
1 packets captured
1 packets received by filter
0 packets dropped by kernel
Validate Result: FAIL
答：打标是对目的端口是22的发送出去的tcp流打上dscp值0x2a。

但是因为捕获的条件限制，tcpdump捕获了收到的数据包。

所以导致tos值不匹配。

由此，建议确认的时候，提供更严格的匹配条件，比如源IP地址，目的IP地址等。