IP报文头基本信息
中文版本：
image.png
英文版本：
image.png
IP关键字
1.TTL
ttl关键字用于检查包头中特定的IP生存时间值。 格式是：
ttl:<number>
举个例子:
ttl:10;
在ttl关键字的末尾，您可以输入您想要匹配的值。 生存时间（Time-to-live）值决定了数据包在互联网系统中的最长时间。 如果该字段设置为0，则数据包必须被销毁。 生存时间基于跳数。 数据包通过的每一跳/路由器减去数据包TTL计数器中的一个。 这种机制的目的是限制数据包的存在，使数据包不能以无限的路由循环结束。
实际例子：
image.png
2. Ipopts
使用ipopts关键字，您可以检查是否设置了特定的ip可选选项。 在规则开始时必须使用Ipopts。 每个规则只能匹配一个选项。
有几个选项可以匹配。 这些是：
image.png
ipopts关键字的格式：
ipopts:<name>
举个例子：
ipopts: lsrr;
规则例子：
image.png
3.sameip
每个数据包都有一个源IP地址和一个目的IP地址。 可能是源IP与目标IP相同。 使用sameip关键字，您可以检查源的IP地址是否与目的地的IP地址相同。 sameip关键字的格式是：
sameip;
例子如下：
image.png
4. ip_proto
使用ip_proto关键字，您可以在数据包标头中的IP协议上进行匹配。 您可以使用协议的名称或编号。 您可以在以下协议上进行匹配：
1 ICMP Internet Control Message
6 TCP Transmission Control Protocol
17 UDP User Datagram
47 GRE General Routing Encapsulation
50 ESP Encap Security Payload for IPv6
51 AH Authentication Header for Ipv6
58 IPv6-ICMP ICMP for Ipv6
有关协议及其编号的完整列表，请参阅http://en.wikipedia.org/wiki/List_of_IP_protocol_numbers
规则中的ip_proto示例：
image.png
注意：奇怪此处怎么没有；号。
ip_proto:PIM
5. ID
使用id关键字，您可以匹配特定的IP ID值。 该ID标识由主机发送的每个分组，并且每个分组通常随着每个正在发送的分组而递增。 IP ID被用作片段识别号码。 每个数据包都有一个IP ID，当数据包变成碎片时，这个数据包的所有片段都有相同的ID。 这样，数据包的接收者知道哪些片段属于同一个数据包。 （IP ID不处理顺序，在这种情况下，使用偏移量，它明确了片段的顺序。）
id格式：
id:<number>;
在规则中的例子:
image.png
6.Geoip
geoip关键字使您（您）能够匹配网络流量的源地址，目标地址或源地址和目标IP地址，并查看其属于哪个国家/地区。 为了做到这一点，Suricata使用Maxmind的GeoIP API。
geoip 的语法：
geoip: src, RU;
geoip: both, CN, RU;
geoip: dst, CN, RU, IR;
geoip: both, US, CA, UK;
geoip: any, CN, IR;
所以，你可以看到你可以使用以下来清楚你想匹配的方向：
both: both directions have to match with the given geoip (geopip’s)
any: one of the directions have to match with the given geoip (’s).
dest: if the destination matches with the given geoip.
src: the source matches with the given geoip.
关键字只支持IPv4。 由于它使用Maxmind的GeoIP API，libgeoip必须被编译进来。
7.Fragments
7.1 Fragbits
使用fragbits关键字，可以检查IP报头中是否设置了分片和保留位。 fragbits关键字应放置在规则的开头。 Fragbits用于修改碎片机制。 在将消息从一个互联网模块路由到另一个互联网模块的过程中，可能发生一个数据包大于网络可以处理的最大数据包大小。 在这种情况下，一个数据包可以分段发送。 数据包大小的这个最大值被称为最大传输单位（MTU）。
网友评论