iptables-extensions(8)          iptables 1.8.10         iptables-extensions(8)

NUME
       iptables-extensions - lista de extensii din distribu<?>ia iptables
       standard

SINOPSIS
       ip6tables [-m nume [op<?>iuni-modul...]] [-j nume-<?>inta
       [op<?>iuni-<?>inta...]

       iptables [-m nume [op<?>iuni-modul...]] [-j nume-<?>inta
       [op<?>iuni-<?>inta...]

EXTENSII DE POTRIVIRE
       iptables poate utiliza module extinse de potrivire a pachetelor cu
       op<?>iunile -m sau --match, urmate de numele modulului de potrivire;
       dupa acestea, devin disponibile diverse op<?>iuni suplimentare de linie
       de comanda, in func<?>ie de modulul specific. Pute<?>i specifica mai
       multe module de potrivire extinsa intr-o singura linie <?>i pute<?>i
       utiliza op<?>iunile -h sau --help dupa ce modulul a fost specificat
       pentru a primi ajutor specific acelui modul. Modulele de potrivire
       extinsa sunt evaluate in ordinea in care sunt specificate in regula.

       Daca -p sau --protocol a fost specificata <?>i daca <?>i numai daca
       este intalnita o op<?>iune necunoscuta, iptables va incerca sa incarce
       un modul de potrivire cu acela<?>i nume ca protocolul, pentru a incerca
       sa faca op<?>iunea disponibila.

   addrtype
       Acest modul potrive<?>te pachetele in func<?>ie de tipul de adresa.
       Tipurile de adresa sunt utilizate in cadrul stivei de re<?>ea a
       nucleului <?>i clasifica adresele in diverse grupuri. Defini<?>ia
       exacta a acelui grup depinde de protocolul specific stratului trei.

       Sunt posibile urmatoarele tipuri de adrese:

       UNSPEC o adresa nespecificata (adica 0.0.0.0)

       UNICAST
              o adresa uni-difuzare ,,unicast"

       LOCAL  o adresa locala

       BROADCAST
              o adresa de difuzare in toata re<?>eaua ,,broadcast"

       ANYCAST
              un pachet ,,anycast"

       MULTICAST
              o adresa de difuzare multipla (catre mai multe ma<?>ini)
              ,,multicast"

       BLACKHOLE
              o adresa de gaura neagra ,,blackhole"

       UNREACHABLE
              o adresa inaccesibila ,,unreachable"

       PROHIBIT
              o adresa interzisa ,,prohibited"

       THROW  FIXME

       NAT    FIXME

       XRESOLVE

       [!] --src-type tip
              Se potrive<?>te daca adresa sursa este de tipul dat

       [!] --dst-type tip
              Se potrive<?>te daca adresa de destina<?>ie este de tipul dat

       --limit-iface-in
              Verificarea tipului de adresa poate fi limitata la interfa<?>a
              de intrare a pachetului. Aceasta op<?>iune este valabila numai
              in lan<?>urile PREROUTING, INPUT <?>i FORWARD. Ea nu poate fi
              specificata cu op<?>iunea --limit-iface-out.

       --limit-iface-out
              Verificarea tipului de adresa poate fi limitata la interfa<?>a
              pe care pleaca pachetul. Aceasta op<?>iune este valabila numai
              in lan<?>urile POSTROUTING, OUTPUT <?>i FORWARD. Ea nu poate fi
              specificata cu op<?>iunea --limit-iface-in.

   ah (specifica IPv6)
       Acest modul potrive<?>te parametrii din antetul de autentificare al
       pachetelor IPsec.

       [!] --ahspi spi[:spi]
              Se potrive<?>te cu SPI.

       [!] --ahlen lungimea
              Lungimea totala a acestui antet in octe<?>i.

       --ahres
              Se potrive<?>te daca campul rezervat este completat cu zero.

   ah (specifica IPv4)
       Acest modul potrive<?>te SPI-urile din antetul de autentificare al
       pachetelor IPsec.

       [!] --ahspi spi[:spi]

   bpf
       Potrivire cu ajutorul filtrului de soclu Linux ,,Linux Socket Filter".
       A<?>teapta o ruta catre un obiect eBPF sau un program cBPF in format
       zecimal.

       --object-pinned ruta
              Transmite o ruta catre un obiect eBPF fixat.

       Aplica<?>iile incarca programele eBPF in nucleu cu apelul de sistem
       bpf() <?>i comanda BPF_PROG_LOAD <?>i le pot fixa intr-un sistem de
       fi<?>iere virtual cu BPF_OBJ_PIN. Pentru a utiliza un obiect fixat in
       iptables, monta<?>i sistemul de fi<?>iere bpf utilizand

              mount -t bpf bpf ${BPF_MOUNT}

       apoi insera<?>i filtrul in iptables dupa ruta:

              iptables -A OUTPUT -m bpf --object-pinned
              ${BPF_MOUNT}/{PINNED_PATH} -j ACCEPT

       --bytecode cod
              Transmite formatul codului de octe<?>i BPF generat de
              instrumentul nfbpf_compile.

       Formatul codului este similar cu rezultatul comenzii <<tcpdump -ddd>>:
       o linie care stocheaza numarul de instruc<?>iuni, urmata de o linie
       pentru fiecare instruc<?>iune. Liniile de instruc<?>iuni urmeaza
       modelul ,,u16 u8 u8 u32" in nota<?>ie zecimala. Campurile codifica
       opera<?>ia, decalajul de salt daca este adevarat, decalajul de salt
       daca este fals <?>i campul generic multiutilizare ,,K". Comentariile nu
       sunt acceptate.

       De exemplu, pentru a citi numai pachetele care corespund ,,ip proto 6",
       introduce<?>i urmatorul text, fara comentarii sau spa<?>ii albe:

              4 # numarul de instruc<?>iuni
              48 0 0 9 # incarca octetul ip->proto
              21 0 1 6 # salt egal cu IPPROTO_TCP
              6 0 0 1 # returneaza pasul (diferit de zero)
              6 0 0 0 # returneaza eroarea (zero)

       Pute<?>i trece acest filtru la potrivirea bpf cu urmatoarea comanda:

              iptables -A OUTPUT -m bpf --bytecode '4,48 0 0 9,21 0 1 6,6 0 0
              1,6 0 0 0' -j ACCEPT

       Sau, in schimb, pute<?>i apela instrumentul nfbpf_compile.

              iptables -A OUTPUT -m bpf --bytecode "`nfbpf_compile RAW 'ip
              proto 6'`" -j ACCEPT

       Sau utiliza<?>i <<tcpdump -ddd>>. In acest caz, genera<?>i BPF vizand
       un dispozitiv cu acela<?>i tip de legatura de date ca <?>i potrivirea
       xtables. Iptables trece pachetele de la nivelul de re<?>ea in sus, fara
       nivelul mac. Selecta<?>i un dispozitiv cu tipul de legatura de date
       RAW, cum ar fi un dispozitiv tun:

              ip tuntap add tun0 mode tun
              ip link set tun0 up
              tcpdump -ddd -i tun0 ip proto 6

       Consulta<?>i <<tcpdump -L -i $dev>> pentru o lista a tipurilor de
       legaturi/conexiuni de date cunoscute pentru un anumit dispozitiv.

       Este posibil sa dori<?>i sa afla<?>i mai multe despre BPF din pagina de
       manual bpf(4) a FreeBSD.

   cgroup
       [!] --path ruta
              Potrive<?>te apartenen<?>a la cgroup2.

              Fiecare soclu este asociat cu cgroup-ul v2 al procesului de
              creare. Aceasta se potrive<?>te cu pachetele care provin de la
              sau se indreapta catre toate soclurile din subierarhia rutei
              specificate. Ruta trebuie sa fie relativa la radacina ierarhiei
              cgroup2.

       [!] --cgroup id-clasa
              Se potrive<?>te cu id-clasa al cgroup net_cls.

              id-clasa ,,classid" este marcajul stabilit prin controlorul
              cgroup net_cls. Aceasta op<?>iune <?>i op<?>iunea ,,--path" nu
              pot fi utilizate impreuna.

       Exemplu:

              iptables -A OUTPUT -p tcp --sport 80 -m cgroup ! --path
              service/http-server -j DROP

              iptables -A OUTPUT -p tcp --sport 80 -m cgroup ! --cgroup 1 -j
              DROP

       IMPORTANT: atunci cand este utilizata in lan<?>ul INPUT, potrivirea
       cgroup are in prezent doar o func<?>ionalitate limitata, ceea ce
       inseamna ca se va potrivi doar cu pachetele care sunt procesate pentru
       soclurile locale prin demultiplexarea timpurie a soclurilor. Prin
       urmare, utilizarea generala pe lan<?>ul INPUT nu este recomandata decat
       daca implica<?>iile sunt bine in<?>elese.

       Disponibila incepand cu Linux 3.14.

   cluster
       Va permite sa implementa<?>i clustere de partajare a incarcarii
       por<?>ii de acces <?>i a serverului ,,back-end" fara a avea nevoie de
       echilibratori de incarcare.

       Aceasta potrivire necesita ca toate nodurile sa vada acelea<?>i
       pachete. Astfel, potrivirea clusterului decide daca acest nod trebuie
       sa gestioneze un pachet avand in vedere urmatoarele op<?>iuni:

       --cluster-total-nodes numar
              Stabile<?>te numarul total de noduri din cluster.

       [!] --cluster-local-node numar
              Stabile<?>te ID-ul numarului nodului local.

       [!] --cluster-local-nodemask masca
              Stabile<?>te masca ID a numarului nodului local. Pute<?>i
              utiliza aceasta op<?>iune in loc de op<?>iunea
              --cluster-local-node.

       --cluster-hash-seed valoare
              Stabile<?>te valoarea semin<?>ei sumei de control (hash) a
              func<?>iei Jenkins.

       Exemplu:

              iptables -A PREROUTING -t mangle -i eth1 -m cluster
              --cluster-total-nodes 2 --cluster-local-node 1
              --cluster-hash-seed 0xdeadbeef -j MARK --set-mark 0xffff

              iptables -A PREROUTING -t mangle -i eth2 -m cluster
              --cluster-total-nodes 2 --cluster-local-node 1
              --cluster-hash-seed 0xdeadbeef -j MARK --set-mark 0xffff

              iptables -A PREROUTING -t mangle -i eth1 -m mark ! --mark 0xffff
              -j DROP

              iptables -A PREROUTING -t mangle -i eth2 -m mark ! --mark 0xffff
              -j DROP

       <?>i urmatoarele comenzi pentru a face ca toate nodurile sa vada
       acelea<?>i pachete:

              ip maddr add 01:00:5e:00:01:01 dev eth1

              ip maddr add 01:00:5e:00:01:02 dev eth2

              arptables -A OUTPUT -o eth1 --h-length 6 -j mangle
              --mangle-mac-s 01:00:5e:00:01:01

              arptables -A INPUT -i eth1 --h-length 6 --destination-mac
              01:00:5e:00:01:01 -j mangle --mangle-mac-d 00:zz:yy:xx:5a:27

              arptables -A OUTPUT -o eth2 --h-length 6 -j mangle
              --mangle-mac-s 01:00:5e:00:01:02

              arptables -A INPUT -i eth2 --h-length 6 --destination-mac
              01:00:5e:00:01:02 -j mangle --mangle-mac-d 00:zz:yy:xx:5a:27

       NOTA<?>IE: comenzile arptables de mai sus utilizeaza sintaxa
       dezvoltatorilor principali. Daca utiliza<?>i arptables-jf inclus in
       unele versiuni RedHat, CentOS <?>i Fedora, va ve<?>i lovi de erori de
       sintaxa. Prin urmare, va trebui sa le adapta<?>i la sintaxa
       arptables-jf pentru a le face sa func<?>ioneze.

       In cazul conexiunilor TCP, facilitatea de preluare trebuie sa fie
       dezactivata pentru a evita marcarea ca valide a pachetelor TCP ACK care
       vin in direc<?>ia de raspuns.

              echo 0 > /proc/sys/net/netfilter/nf_conntrack_tcp_loose

   comment
       Va permite sa adauga<?>i comentarii (pana la 256 de caractere) la orice
       regula.

       --comment comentariu

       Exemplu:
              iptables -A INPUT -i eth1 -m comment --comment "my local LAN"

   connbytes
       Potrive<?>te in func<?>ie de numarul de octe<?>i sau pachete pe care o
       conexiune (sau unul dintre cele doua fluxuri care constituie
       conexiunea) le-a transferat pana in prezent sau in func<?>ie de numarul
       mediu de octe<?>i pe pachet.

       Contoarele sunt pe 64 de bi<?>i <?>i, prin urmare, nu este de
       a<?>teptat sa se debordeze ;)

       Principala utilizare este detectarea descarcarilor de lunga durata <?>i
       marcarea acestora pentru a fi programate folosind o banda de prioritate
       inferioara in controlul traficului.

       Octe<?>ii transfera<?>i pe conexiune pot fi vizualiza<?>i <?>i prin
       <<conntrack -L>> <?>i accesa<?>i prin <<ctnetlink>>.

       OBSERVA<?>I ca pentru conexiunile care nu au informa<?>ii contabile,
       potrivirea va returna intotdeauna fals. Fanionul sysctl
       ,,net.netfilter.nf_conntrack_acct" controleaza daca conexiunile new vor
       fi numarate in octe<?>i/pachete. Fluxurile de conexiuni existente nu
       vor ca<?>tiga/pierde o/structura de contabilizare atunci cand fanionul
       sysctl be este inversat.

       [!] --connbytes from[:to]
              potrive<?>te pachetele de la o conexiune ale carei
              pachete/octe<?>i/marime medie a pachetelor este mai mare decat
              FROM <?>i mai mica decat TO octe<?>i/pachete. daca TO este omis,
              se face doar verificarea FROM. ,,!" se utilizeaza pentru a
              potrivi pachetele care nu se incadreaza in interval.

       --connbytes-dir {original|reply|both}
              ce pachete trebuie luate in considerare

       --connbytes-mode {packets|bytes|avgpkt}
              daca se verifica cantitatea de pachete, numarul de octe<?>i
              transfera<?>i sau dimensiunea medie (in octe<?>i) a tuturor
              pachetelor primite pana in prezent. Re<?>ine<?>i ca atunci cand
              ,,both" este utilizat impreuna cu ,,avgpkt", iar datele circula
              (in principal) intr-o singura direc<?>ie (de exemplu HTTP),
              dimensiunea medie a pachetelor va fi aproximativ jumatate din
              pachetele de date reale.

       Exemplu:
              iptables .. -m connbytes --connbytes 10000:100000
              --connbytes-dir both --connbytes-mode bytes ...

   connlabel
       Modulul potrive<?>te sau adauga connlabels la o conexiune. connlabels
       sunt similare cu connmarks, cu excep<?>ia faptului ca etichetele sunt
       bazate pe bi<?>i; adica toate etichetele pot fi ata<?>ate unui flux in
       acela<?>i timp. In prezent sunt acceptate pana la 128 de etichete
       unice.

       [!] --label nume
              potrive<?>te daca eticheta numele a fost definita pe o
              conexiune. In locul unui nume (care va fi tradus intr-un numar,
              a se vedea EXEMPLUL de mai jos), poate fi utilizat un numar.
              Utilizarea unui numar prevaleaza intotdeauna asupra
              connlabel.conf.

       --set  daca eticheta nu a fost definita pe conexiune, defini<?>i-o.
              Re<?>ine<?>i ca definirea unei etichete poate e<?>ua. Acest
              lucru se datoreaza faptului ca nucleul aloca zona de stocare a
              etichetei conntrack atunci cand este creata conexiunea <?>i
              rezerva doar cantitatea de memorie necesara setului de reguli
              care exista in momentul crearii conexiunii. In acest caz,
              potrivirea va e<?>ua (sau va reu<?>i, in cazul in care
              op<?>iunea --label a fost negata).

       Aceasta potrivire depinde de libnetfilter_conntrack 1.0.4 sau ulterior.
       Traducerea etichetelor se face prin intermediul fi<?>ierului de
       configurare /etc/xtables/connlabel.conf.

       Exemplu:

              0    eth0-in
              1    eth0-out
              2    ppp-in
              3    ppp-out
              4    bulk-traffic
              5    interactive

   connlimit
       Va permite sa restric<?>iona<?>i numarul de conexiuni paralele la un
       server per adresa IP client (sau bloc de adrese client).

       --connlimit-upto n
              Se potrive<?>te daca numarul de conexiuni existente este mai mic
              sau egal cu n.

       --connlimit-above n
              Se potrive<?>te daca numarul de conexiuni existente este mai
              mare decat n.

       --connlimit-mask lungime-prefix
              Grupeaza gazdele folosind lungimea prefixului. Pentru IPv4,
              acesta trebuie sa fie un numar cuprins intre (inclusiv) 0 <?>i
              32. Pentru IPv6, intre 0 <?>i 128. Daca nu este specificata, se
              utilizeaza lungimea maxima a prefixului pentru protocolul
              aplicabil.

       --connlimit-saddr
              Aplica limita asupra grupului sursa. Aceasta este valoarea
              implicita daca nu este specificata op<?>iunea
              ,,--connlimit-daddr".

       --connlimit-daddr
              Aplica limita pe grupul de destina<?>ie.

       Exemple:

       # permite 2 conexiuni telnet pentru fiecare gazda client
              iptables -A INPUT -p tcp --syn --dport 23 -m connlimit
              --connlimit-above 2 -j REJECT

       # se poate face <?>i invers:
              iptables -A INPUT -p tcp --syn --dport 23 -m connlimit
              --connlimit-upto 2 -j ACCEPT

       # limiteaza numarul de cereri HTTP paralele la 16 per re<?>ea sursa de
       clasa C (masca de re<?>ea de 24 de bi<?>i)
              iptables -p tcp --syn --dport 80 -m connlimit --connlimit-above
              16 --connlimit-mask 24 -j REJECT

       # limiteaza numarul de cereri HTTP paralele la 16 pentru conexiunea la
       re<?>eaua locala
              (ipv6)  ip6tables -p tcp --syn --dport 80 -s fe80::/64 -m
              connlimit --connlimit-above 16 --connlimit-mask 64 -j REJECT

       # limiteaza numarul de conexiuni la o anumita gazda:
              ip6tables -p tcp --syn --dport 49152:65535 -d 2001:db8::1 -m
              connlimit --connlimit-above 100 -j REJECT

   connmark
       Acest modul se potrive<?>te cu campul de marcaj netfilter asociat unei
       conexiuni (care poate fi definit utilizand <?>inta CONNMARK de mai
       jos).

       [!] --mark valoare[/masca]
              Potrive<?>te pachetele din conexiuni cu valoarea de marcare data
              (daca este specificata o masca, aceasta este logic AND cu marca
              inainte de compara<?>ie).

   conntrack
       Acest modul, atunci cand este combinat cu urmarirea conexiunii, permite
       accesul la starea de urmarire a conexiunii pentru acest
       pachet/conexiune.

       [!] --ctstate lista-stare
              lista-stare este o lista separata prin virgule a starilor
              conexiunii care trebuie sa corespunda. Starile posibile sunt
              enumerate mai jos.

       [!] --ctproto l4proto
              Protocolul Layer-4 care trebuie sa corespunda (dupa numar sau
              nume)

       [!] --ctorigsrc adresa[/masca]

       [!] --ctorigdst adresa[/masca]

       [!] --ctreplsrc adresa[/masca]

       [!] --ctrepldst adresa[/masca]
              Potrivire cu adresa sursa/destina<?>ie originala/replica

       [!] --ctorigsrcport port[:port]

       [!] --ctorigdstport port[:port]

       [!] --ctreplsrcport port[:port]

       [!] --ctrepldstport port[:port]
              Potrivire in func<?>ie de portul sursa/destina<?>ie
              original/raspuns (TCP/UDP/etc.) sau de cheia GRE.  Potrivirea in
              func<?>ie de intervalele de porturi este acceptata numai in
              versiunile de nucleu mai mari de 2.6.38.

       [!] --ctstatus lista-stare
              lista-stare este o lista separata prin virgule a starilor
              conexiunii care trebuie sa corespunda. Starile posibile sunt
              enumerate mai jos.

       [!] --ctexpire timp[:timp]
              Potrive<?>te durata de via<?>a ramasa in secunde cu o valoare
              data sau un interval de valori (inclusiv)

       --ctdir {ORIGINAL|REPLY}
              Potrive<?>te pachetele care circula in direc<?>ia specificata.
              Daca acest fanion nu este specificat deloc, se potrivesc
              pachetele in ambele direc<?>ii.

       Stari pentru --ctstate:

       INVALID
              Pachetul nu este asociat cu nicio conexiune cunoscuta.

       NEW    Pachetul a ini<?>iat o conexiune noua sau a fost asociat cu o
              conexiune care nu a primit pachete in ambele direc<?>ii.

       ESTABLISHED
              Pachetul este asociat cu o conexiune care a vazut pachete in
              ambele direc<?>ii.

       RELATED
              Pachetul incepe o conexiune noua, dar este asociat cu o
              conexiune existenta, cum ar fi un transfer de date FTP sau o
              eroare ICMP.

       UNTRACKED
              Pachetul nu este urmarit deloc, ceea ce se intampla daca il
              anula<?>i in mod explicit folosind ,,-j CT --notrack" in tabelul
              brut.

       SNAT   O stare virtuala, care se potrive<?>te daca adresa sursa
              ini<?>iala difera de destina<?>ia raspunsului.

       DNAT   O stare virtuala, care se potrive<?>te daca destina<?>ia
              ini<?>iala difera de sursa raspunsului.

       Stari pentru --ctstatus:

       NONE   Niciuna dintre cele de mai jos.

       EXPECTED
              Aceasta este o conexiune a<?>teptata (adica un asistent
              conntrack a configurat-o).

       SEEN_REPLY
              Conntrack a vazut pachete in ambele direc<?>ii.

       ASSURED
              Intrarea conntrack nu trebuie sa fie niciodata expirata inainte
              de termen.

       CONFIRMED
              Conexiunea este confirmata: pachetul de origine a parasit
              loca<?>ia.

   cpu
       [!] --cpu numar
              Potrive<?>te cpu-ul care gestioneaza acest pachet. cpu-urile
              sunt numerotate de la 0 la NR_CPU-1 Poate fi utilizat in
              combina<?>ie cu RPS (Remote Packet Steering) sau cu NIC-uri cu
              multiple cozi pentru a repartiza traficul de re<?>ea pe cozi
              diferite.

       Exemplu:

       iptables -t nat -A PREROUTING -p tcp --dport 80 -m cpu --cpu 0 -j
       REDIRECT --to-ports 8080

       iptables -t nat -A PREROUTING -p tcp --dport 80 -m cpu --cpu 1 -j
       REDIRECT --to-ports 8081

       Disponibila incepand cu Linux 2.6.36.

   dccp
       [!] --source-port,--sport port[:port]

       [!] --destination-port,--dport port[:port]

       [!] --dccp-types masca
              Potrive<?>te atunci cand tipul de pachet DCCP este unul dintre
              ,,mask". ,,mask" este o lista de tipuri de pachete separate prin
              virgule. Tipurile de pachete sunt: REQUEST RESPONSE DATA ACK
              DATAACK CLOSEREQ CLOSE RESET SYNC SYNCACK INVALID.

       [!] --dccp-option numar
              Se potrive<?>te daca este definita op<?>iunea DCCP.

   devgroup
       Potrive<?>te grupul de dispozitive al interfe<?>ei de intrare/ie<?>ire
       a unui pachet.

       [!] --src-group nume
              Potrive<?>te grupul de dispozitive al dispozitivului de intrare

       [!] --dst-group nume
              Potrive<?>te grupul de dispozitive al dispozitivului de ie<?>ire

   dscp
       Acest modul corespunde campului DSCP de 6 bi<?>i din campul TOS din
       antetul IP.  DSCP a inlocuit TOS in cadrul IETF.

       [!] --dscp valoare
              Potrivire cu o valoare numerica (zecimala sau hexazecimala)
              [0-63].

       [!] --dscp-class clasa
              Potrive<?>te clasa DiffServ. Aceasta valoare poate fi oricare
              dintre clasele BE, EF, AFxx sau CSx. Aceasta va fi apoi
              convertita in valoarea sa numerica corespunzatoare.

   dst (specific IPv6)
       Acest modul corespunde parametrilor din antetul op<?>iunilor de
       destina<?>ie

       [!] --dst-len lungime
              Lungimea totala a acestui antet in octe<?>i.

       --dst-opts tip[:lungime][,tip[:lungime]...]
              tipul numeric al op<?>iunii <?>i lungimea datelor op<?>iunii in
              octe<?>i.

   ecn
       Acest lucru va permite sa potrivi<?>i bi<?>ii ECN din antetul IPv4/IPv6
       <?>i TCP.  ECN este mecanismul de notificare explicita a congestiei,
       astfel cum este specificat in RFC3168

       [!] --ecn-tcp-cwr
              Aceasta se potrive<?>te daca bitul TCP ECN CWR (Congestion
              Window Received) este activat.

       [!] --ecn-tcp-ece
              Aceasta se potrive<?>te daca bitul TCP ECN ECE (ECN Echo) este
              activat.

       [!] --ecn-ip-ect numar
              Aceasta se potrive<?>te cu un anumit IPv4/IPv6 ECT (ECN-Capable
              Transport). Trebuie sa specifica<?>i un numar intre ,,0" <?>i
              ,,3".

   esp
       Acest modul potrive<?>te SPI-urile din antetul ESP al pachetelor IPsec.

       [!] --espspi spi[:spi]

   eui64 (specific IPv6)
       Acest modul potrive<?>te partea EUI-64 a unei adrese IPv6
       autoconfigurate stateless. Acesta compara EUI-64 derivat din adresa MAC
       sursa din cadrul Ethernet cu cei 64 de bi<?>i inferiori ai adresei
       sursa IPv6. Dar bitul ,,Universal/Local" nu este comparat. Acest modul
       nu se potrive<?>te cu alte cadre de strat de legatura <?>i este valabil
       numai in lan<?>urile PREROUTING, INPUT <?>i FORWARD.

   frag (specific IPv6)
       Acest modul potrive<?>te parametrii din antetul Fragment.

       [!] --fragid id[:id]
              Potrive<?>te identificarea data sau un interval al acesteia.

       [!] --fraglen lungime
              Aceasta op<?>iune nu poate fi utilizata cu versiunea de nucleu
              2.6.10 sau ulterioara. Lungimea antetului Fragment este statica
              <?>i aceasta op<?>iune nu are sens.

       --fragres
              Se potrive<?>te daca campurile rezervate sunt completate cu
              zero.

       --fragfirst
              Se potrive<?>te cu primul fragment.

       --fragmore
              Se potrive<?>te daca exista mai multe fragmente.

       --fraglast
              Se potrive<?>te daca acesta este ultimul fragment.

   hashlimit
       hashlimit utilizeaza ,,gale<?>i" hash pentru a exprima o potrivire de
       limitare a ratei (precum potrivirea limitei) pentru un grup de
       conexiuni utilizand o singura regula iptables. Gruparea se poate face
       pe grup de gazde (adresa sursa <?>i/sau destina<?>ie) <?>i/sau pe port.
       Aceasta va ofera posibilitatea de a exprima ,,N pachete per masura-timp
       per grup" sau ,,N octe<?>i per secunda" (a se vedea mai jos pentru
       cateva exemple).

       Sunt necesare op<?>iunile de limita hash (--hashlimit-upto,
       --hashlimit-above) <?>i --hashlimit-name.

       --hashlimit-upto cantitate[/second|/minute|/hour|/day]
              Se potrive<?>te daca rata este mai mica sau egala cu
              cantitatea/masura-timp. Aceasta este specificata fie ca numar,
              cu un sufix op<?>ional de masura-timp de timp (valoarea
              implicita este 3/ora), fie ca amountb/secunda (numar de octe<?>i
              pe secunda).

       --hashlimit-above cantitate[/second|/minute|/hour|/day]
              Se potrive<?>te daca rata este mai mare de
              cantitate/masura-timp.

       --hashlimit-burst cantitate
              Numarul ini<?>ial maxim de pachete pentru potrivire: acest numar
              se reincarca cu unu de fiecare data cand limita specificata mai
              sus nu este atinsa, pana la acest numar; valoarea implicita este
              5. Atunci cand se solicita potrivirea ratei pe baza de octe<?>i,
              aceasta op<?>iune specifica cantitatea de octe<?>i care poate
              depa<?>i rata data.  Aceasta op<?>iune trebuie utilizata cu
              pruden<?>a - daca intrarea expira, valoarea burst este <?>i ea
              reini<?>ializata.

       --hashlimit-mode {srcip|srcport|dstip|dstport},...
              O lista separata prin virgule de obiecte care trebuie luate in
              considerare. Daca nu este furnizata op<?>iunea
              ,,--hashlimit-mode", hashlimit ac<?>ioneaza ca limita, dar la
              pre<?>ul de a face cura<?>enie in hash.

       --hashlimit-srcmask prefix
              Atunci cand se utilizeaza ,,--hashlimit-mode srcip", toate
              adresele sursa intalnite vor fi grupate in func<?>ie de lungimea
              prefixului dat, iar subre<?>eaua astfel creata va fi supusa
              hashlimit. prefix trebuie sa fie intre (inclusiv) 0 <?>i 32.
              Re<?>ine<?>i ca ,,--hashlimit-srcmask 0" face practic acela<?>i
              lucru ca <?>i nespecificarea <<srcip>> pentru
              ,,--hashlimit-mode", dar este tehnic mai costisitor.

       --hashlimit-dstmask prefix
              Ca ,,--hashlimit-srcmask", dar pentru adresele de destina<?>ie.

       --hashlimit-name foo
              Numele pentru intrarea /proc/net/ipt_hashlimit/foo.

       --hashlimit-htable-size gale<?>i
              Numarul de gale<?>i ale tabelului hash

       --hashlimit-htable-max intrari
              Numarul maxim de intrari in tabelul hash.

       --hashlimit-htable-expire msec
              Dupa cate milisecunde expira intrarile hash.

       --hashlimit-htable-gcinterval msec
              Cate milisecunde sunt intre intervalele de colectare a
              gunoiului.

       --hashlimit-rate-match
              Clasificarea fluxului in loc de limitarea ratei acestuia.
              Aceasta ac<?>ioneaza ca o potrivire adevarat/fals daca rata este
              mai mare/mai mica decat un anumit numar

       --hashlimit-rate-interval sec
              Poate fi utilizata cu ,,--hashlimit-rate-match" pentru a
              specifica intervalul la care rata ar trebui sa fie e<?>antionata

       Exemple:

       potrivire pe gazda sursa
              ,,1000 de pachete pe secunda pentru fiecare gazda din
              192.168.0.0/16" => -s 192.168.0.0/16 --hashlimit-mode srcip
              --hashlimit-upto 1000/sec

       potrivire pe portul sursa
              ,,100 de pachete pe secunda pentru fiecare serviciu de la
              192.168.1.1" => -s 192.168.1.1 --hashlimit-mode srcport
              --hashlimit-upto 100/sec

       potrivire pe subre<?>ea
              ,,10000 de pachete pe minut pentru fiecare subre<?>ea /28
              (grupuri de 8 adrese) din 10.0.0.0/8" => -s 10.0.0.0/8
              --hashlimit-mask 28 --hashlimit-upto 10000/min

       potrivire de octe<?>i pe secunda
              ,,fluxuri care depa<?>esc 512kocte<?>i/s" => --hashlimit-mode
              srcip,dstip,srcport,dstport --hashlimit-above 512kb/s

       potrivire de octe<?>i pe secunda
              ,,gazde care depa<?>esc 512kocte<?>i/s, dar permit pana la
              1Megaocte<?>i fara potrivire" --hashlimit-mode dstip
              --hashlimit-above 512kb/s --hashlimit-burst 1mb

   hbh (specific IPv6)
       Acest modul corespunde parametrilor din antetul de op<?>iuni Hop-by-Hop

       [!] --hbh-len lungime
              Lungimea totala a acestui antet in octe<?>i.

       --hbh-opts tip[:lungime][,tip[:lungime]...]
              tipul numeric al op<?>iunii <?>i lungimea datelor op<?>iunii in
              octe<?>i.

   helper
       Acest modul potrive<?>te pachetele legate de un anumit
       conntrack-helper.

       [!] --helper <?>ir
              Potrive<?>te pachetele referitoare la conntrack-helper
              specificat.

              <?>irul poate fi ,,ftp" pentru pachetele referitoare la o
              sesiune ftp pe portul implicit. Pentru alte porturi, adauga<?>i
              -portnr la valoare, adica ,,ftp-2121".

              Acelea<?>i reguli se aplica <?>i pentru ceilal<?>i asisten<?>i
              conntrack-helpers.

   hl (specific IPv6)
       Acest modul corespunde campului Hop Limit din antetul IPv6.

       [!] --hl-eq valoare
              Se potrive<?>te daca limita Hop este egala cu valoare.

       --hl-lt valoare
              Se potrive<?>te daca limita Hop este mai mica decat valoare.

       --hl-gt valoare
              Se potrive<?>te daca limita Hop este mai mare decat valoare.

   icmp (specific IPv4)
       Aceasta extensie poate fi utilizata daca este specificat ,,--protocol
       icmp". Aceasta ofera urmatoarea op<?>iune:

       [!] --icmp-type {tip[/cod]|nume-tip}
              Aceasta permite specificarea tipului ICMP, care poate fi un tip
              ICMP numeric, o pereche tip/cod sau una dintre denumirile
              tipului ICMP afi<?>ate de comanda
               iptables -p icmp -h

   icmp6 (specific IPv6)
       Aceasta extensie poate fi utilizata daca se specifica ,,---protocol
       ipv6-icmp" sau ,,---protocol icmpv6". Aceasta ofera urmatoarea
       op<?>iune:

       [!] --icmpv6-type tip[/cod]|nume-tip
              Aceasta permite specificarea tipului ICMPv6, care poate fi un
              ICMPv6 numeric tip, tip <?>i cod, sau una dintre denumirile
              tipului ICMPv6 afi<?>ate de comanda
               ip6tables -p ipv6-icmp -h

   iprange
       Aceasta se potrive<?>te cu un anumit interval arbitrar de adrese IP.

       [!] --src-range de-la[-la]
              Potrive<?>te IP-ul sursa in intervalul specificat.

       [!] --dst-range de-la[-la]
              Potrive<?>te IP-ul destina<?>iei in intervalul specificat.

   ipv6header (specific IPv6)
       Acest modul corespunde antetelor de extensie IPv6 <?>i/sau antetelor de
       nivel(strat) superior.

       --soft Potrive<?>te daca pachetul include any din antetele specificate
              cu --header.

       [!] --header antet[,antet...]
              Potrive<?>te pachetul care include EXACT toate antetele
              specificate. Antetele incapsulate cu antetul ESP sunt excluse
              din domeniu. Tipurile posibile de antet pot fi:

       hop|hop-by-hop
              Antetul de op<?>iuni Hop-by-Hop

       dst    Antetul de op<?>iuni destina<?>ie

       route  Antetul de direc<?>ionare

       frag   Antetul fragmentelor

       auth   Antetul de autentificare

       esp    Antetul incapsularii sarcinii de securitate (Encapsulating
              Security Payload)

       none   Niciun antet Next(urmator) care sa corespunda cu 59 din campul
              antetul urmator ,,Next Header field" al antetului IPv6 sau orice
              antet de extensie IPv6

       prot   care se potrive<?>te cu orice antet de protocol de nivel(strat)
              superior. De asemenea, sunt permise un nume de protocol din
              ,,/etc/protocols" <?>i o valoare numerica. Numarul 255 este
              echivalent cu prot.

   ipvs
       Potrive<?>te proprieta<?>ile conexiunii IPVS.

       [!] --ipvs
              pachetul apar<?>ine unei conexiuni IPVS

       Oricare dintre urmatoarele op<?>iuni implica op<?>iunea ,,--ipvs"
       (chiar <?>i negata)

       [!] --vproto protocol
              Protocolul VIP care urmeaza sa se potriveasca; prin numar sau
              nume, de exemplu ,,tcp"

       [!] --vaddr adresa[/masca]
              Adresa VIP pentru potrivire

       [!] --vport port
              Portul VIP care trebuie sa corespunda; prin numar sau nume, de
              exemplu ,,http"

       --vdir {ORIGINAL|REPLY}
              direc<?>ia fluxului pachetului

       [!] --vmethod {GATE|IPIP|MASQ}
              Metoda de redirec<?>ionare IPVS utilizata

       [!] --vportctl port
              Portul VIP al conexiunii de control care trebuie sa corespunda,
              de exemplu 21 pentru FTP

   length
       Acest modul potrive<?>te lungimea incarcaturii utile de nivel 3 (de
       exemplu, pachetul de nivel 4) a unui pachet cu o anumita valoare sau
       gama de valori.

       [!] --length lungimea[:lungimea]

   limit
       Acest modul se potrive<?>te la o rata limitata utilizand un filtru de
       tip ,,token bucket". O regula care utilizeaza aceasta extensie se va
       potrivi pana cand aceasta limita este atinsa. Poate fi utilizat in
       combina<?>ie cu <?>inta LOG pentru a oferi o jurnalizare limitata, de
       exemplu.

       xt_limit nu accepta negarea - va trebui sa utiliza<?>i ,,-m hashlimit !
       --hashlimit rate" in acest caz, omi<?>and in acela<?>i timp
       ,,--hashlimit-mode".

       --limit rata[/second|/minute|/hour|/day]
              Rata medie maxima de potrivire: specificata ca numar, cu un
              sufix op<?>ional ,,/second", ,,/minute", ,,/hour" sau ,,/day";
              valoarea implicita este 3/hour.

       --limit-burst numar
              Numarul ini<?>ial maxim de pachete care se potrivesc: acest
              numar se reincarca cu unu de fiecare data cand limita
              specificata mai sus nu este atinsa, pana la acest numar;
              valoarea implicita este 5.

   mac
       [!] --mac-source adresa
              Potrive<?>te adresa MAC sursa.  Aceasta trebuie sa fie de forma
              XX:XX:XX:XX:XX:XX:XX.  Re<?>ine<?>i ca acest lucru are sens
              numai pentru pachetele care provin de la un dispozitiv Ethernet
              <?>i intra in lan<?>urile PREROUTING, FORWARD sau INPUT.

   mark
       Acest modul corespunde campului de marcaj netfilter asociat unui pachet
       (care poate fi definit utilizand <?>inta MARK de mai jos).

       [!] --mark valoare[/masca]
              Potrive<?>te pachetele cu valoarea marcajului fara semn data
              (daca este specificata o masca, aceasta este logic AND corelata
              cu masca inainte de compara<?>ie).

   mh (specific IPv6)
       Aceasta extensie este incarcata daca se specifica ,,---protocol
       ipv6-mh" sau ,,---protocol mh". Aceasta ofera urmatoarea op<?>iune:

       [!] --mh-type tip[:tip]
              Aceasta permite specificarea tipului de antet de mobilitate
              (MH), care poate fi un MH numeric tip, tip sau una dintre
              denumirile de tip MH afi<?>ate de comanda
               ip6tables -p mh -h

   multiport
       Acest modul se potrive<?>te cu un set de porturi sursa sau
       destina<?>ie. Pot fi specificate pana la 15 porturi. Un interval de
       porturi (port:port) conteaza ca doua porturi. Poate fi utilizat numai
       impreuna cu unul dintre urmatoarele protocoale: tcp, udp, udplite, dccp
       <?>i sctp.

       [!] --source-ports,--sports port[,port|,port:port]...
              Se potrive<?>te daca portul sursa este unul dintre porturile
              date. Indicatorul --sports este un alias convenabil pentru
              aceasta op<?>iune. Mai multe porturi sau intervale de porturi
              sunt separate prin virgula, iar un interval de porturi este
              specificat prin doua puncte. Prin urmare, 53,1024:65535 ar
              corespunde porturilor 53 <?>i tuturor porturilor de la 1024 la
              65535.

       [!] --destination-ports,--dports port[,port|,port:port]...
              Se potrive<?>te daca portul de destina<?>ie este unul dintre
              porturile date. Indicatorul --dports este un alias convenabil
              pentru aceasta op<?>iune.

       [!] --ports port[,port|,port:port]...
              Se potrive<?>te daca porturile sursa sau destina<?>ie sunt egale
              cu unul dintre porturile date.

   nfacct
       Potrivirea nfacct furnizeaza infrastructura de contabilizare extinsa
       pentru iptables.  Trebuie sa utiliza<?>i aceasta potrivire impreuna cu
       utilitatea autonoma din spa<?>iul utilizatorului nfacct(8)

       Singura op<?>iune disponibila pentru aceasta potrivire este urmatoarea:

       --nfacct-name nume
              Aceasta va permite sa specifica<?>i numele obiectului existent
              care va fi utilizat pentru contabilizarea traficului care
              corespunde acestui set de reguli.

       Pentru a utiliza aceasta extensie, trebuie sa crea<?>i un obiect
       contabil:

              nfacct add http-traffic

       Apoi, trebuie sa il ata<?>a<?>i la obiectul contabil prin iptables:

              iptables -I INPUT -p tcp --sport 80 -m nfacct --nfacct-name
              http-traffic

              iptables -I OUTPUT -p tcp --dport 80 -m nfacct --nfacct-name
              http-traffic

       Apoi, pute<?>i verifica cantitatea de trafic care corespunde regulilor:

              nfacct get http-traffic

              { pkts = 00000000000000000156, bytes = 00000000000000151786 } =
              http-traffic;

       Pute<?>i ob<?>ine nfacct(8) de la https://www.netfilter.org sau,
       alternativ, din depozitul git.netfilter.org.

   osf
       Modulul osf realizeaza amprentarea pasiva a sistemului de operare.
       Acest modul compara anumite date (dimensiunea ferestrei, MSS,
       op<?>iunile <?>i ordinea lor, TTL, DF <?>i altele) din pachetele cu
       bitul SYN activat.

       [!] --genre <?>ir
              Potrive<?>te un gen de sistem de operare folosind o amprenta
              pasiva.

       --ttl nivel
              Efectueaza verificari TTL suplimentare asupra pachetului pentru
              a determina sistemul de operare.  nivel poate fi una dintre
              urmatoarele valori:

       o   0 - Compara<?>ie TTL reala intre adresa IP <?>i amprenta digitala.
           Aceasta func<?>ioneaza in general pentru LAN-uri.

       o   1 - Verifica daca TTL-ul antetului IP este mai mic decat cel al
           amprentei. Func<?>ioneaza pentru adresele ce pot fi direc<?>ionate
           la nivel global.

       o   2 - Nu compara deloc TTL--ul.

       --log nivel
           Inregistreaza genurile determinate in dmesg chiar daca acestea nu
           corespund cu cel dorit. nivel poate fi una dintre urmatoarele
           valori:

       o   0 - Inregistreaza toate semnaturile care corespund sau necunoscute

       o   1 - Inregistreaza numai prima

       o   2 - Inregistreaza toate semnaturile cunoscute care corespund

       Este posibil sa gasi<?>i a<?>a ceva in syslog:

       Windows [2000:SP3:Windows XP Pro SP1, 2000 SP3]: 11.22.33.55:4024 ->
       11.22.33.44:139 hops=3 Linux [2.5-2.6:] : 1.2.3.4:42624 -> 1.2.3.5:22
       hops=4

       Amprentele de SO pot fi incarcate cu ajutorul programului nfnl_osf.
       Pentru a incarca amprente digitale dintr-un fi<?>ier, utiliza<?>i:

       nfnl_osf -f /usr/share/xtables/pf.os

       Pentru a le elimina din nou,

       nfnl_osf -f /usr/share/xtables/pf.os -d

       Baza de date privind amprentele digitale poate fi descarcata de la
       http://www.openbsd.org/cgi-bin/cvsweb/src/etc/pf.os .

   owner
       Acest modul incearca sa corespunda diferitelor caracteristici ale
       creatorului pachetului, pentru pachetele generate local. Aceasta
       potrivire este valabila numai in lan<?>urile OUTPUT <?>i POSTROUTING.
       Pachetele transmise nu au niciun soclu asociat cu ele. Pachetele
       provenite de la firele de execu<?>ie ale nucleului au un soclu, dar de
       obicei nu au proprietar.

       [!] --uid-owner nume-utilizator

       [!] --uid-owner id-utilizator[-id-utilizator]
              Verifica daca structura de fi<?>iere a soclului de pachete (daca
              are una) este de<?>inuta de utilizatorul dat. De asemenea,
              pute<?>i specifica un UID numeric sau un interval UID.

       [!] --gid-owner nume-grup

       [!] --gid-owner id-grup[-id-gru]
              Verifica daca structura de fi<?>iere a soclului de pachete este
              de<?>inuta de grupul dat. De asemenea, pute<?>i specifica un GID
              numeric sau un interval GID.

       --suppl-groups
              Face ca grupul sau grupurile specificate cu --gid-owner sa fie
              verificate <?>i in grupurile suplimentare ale unui proces.

       [!] --socket-exists
              Verifica daca pachetul este asociat cu un soclu.

   physdev
       Acest modul se potrive<?>te cu dispozitivele de intrare <?>i ie<?>ire
       ale portului de punte aservite unui dispozitiv de punte. Acest modul
       face parte din infrastructura care permite un paravan de protec<?>ie IP
       cu punte transparenta <?>i este util numai pentru versiunile de nucleu
       mai mari de versiunea 2.5.44.

       [!] --physdev-in nume
              Numele unui port de punte prin care este primit un pachet (numai
              pentru pachetele care intra in lan<?>urile INPUT, FORWARD <?>i
              PREROUTING). Daca numele interfe<?>ei se termina cu un ,,+",
              atunci se va potrivi orice interfa<?>a care incepe cu acest
              nume. Daca pachetul nu a ajuns printr-un dispozitiv punte, acest
              pachet nu va corespunde acestei op<?>iuni, cu excep<?>ia cazului
              in care se utilizeaza ,,!".

       [!] --physdev-out nume
              Numele unui port de punte prin care va fi trimis un pachet
              (pentru pachetele de punte care intra in lan<?>urile FORWARD
              <?>i POSTROUTING). Daca numele interfe<?>ei se termina cu un
              ,,+", atunci se va potrivi orice interfa<?>a care incepe cu
              acest nume.

       [!] --physdev-is-in
              Se potrive<?>te daca pachetul a intrat printr-o interfa<?>a
              punte.

       [!] --physdev-is-out
              Se potrive<?>te daca pachetul va pleca printr-o interfa<?>a
              punte.

       [!] --physdev-is-bridged
              Verifica daca pachetul este conectat prin punte <?>i, prin
              urmare, nu este direc<?>ionat. Acest lucru este util numai in
              lan<?>urile FORWARD <?>i POSTROUTING.

   pkttype
       Acest modul corespunde tipului de pachet din stratul de
       legatura(conexiune).

       [!] --pkt-type {unicast|broadcast|multicast}

   policy
       Acest modul se potrive<?>te cu politica utilizata de IPsec pentru
       gestionarea unui pachet.

       --dir {in|out}
              Utilizat pentru a selecta daca sa se potriveasca politica
              utilizata pentru decapsulare sau politica care va fi utilizata
              pentru incapsulare.  in este valabil in lan<?>urile PREROUTING,
              INPUT <?>i FORWARD, out este valabil in lan<?>urile POSTROUTING,
              OUTPUT <?>i FORWARD.

       --pol {none|ipsec}
              Verifica daca pachetul este supus procesarii IPsec. --pol none
              nu poate fi combinata cu --strict.

       --strict
              Selecteaza daca sa se potriveasca cu politica exacta sau sa se
              potriveasca daca orice regula a politicii se potrive<?>te cu
              politica data.

       Pentru fiecare element de politica care urmeaza sa fie descris, se pot
       utiliza una sau mai multe dintre urmatoarele op<?>iuni. Atunci cand
       --strict este in vigoare, trebuie utilizata cel pu<?>in una pentru
       fiecare element.

       [!] --reqid id
              Se potrive<?>te cu reqid-ul regulii de politica. Reqid poate fi
              specificat cu setkey(8) folosind unique:id ca nivel.

       [!] --spi spi
              Se potrive<?>te cu SPI al SA.

       [!] --proto {ah|esp|ipcomp}
              Potrive<?>te protocolul de incapsulare.

       [!] --mode {tunnel|transport}
              Potrive<?>te modul de incapsulare.

       [!] --tunnel-src adresa[/masca]
              Se potrive<?>te cu adresa punctului final sursa al unui SA in
              mod tunel. Valabila numai cu --mode tunnel.

       [!] --tunnel-dst adresa[/masca]
              Se potrive<?>te cu adresa punctului final de destina<?>ie al
              unui SA in mod tunel. Valabila numai cu --mode tunnel.

       --next Incepe urmatorul element din specifica<?>ia politicii. Poate fi
              utilizata numai cu --strict.

   quota
       Implementeaza cotele de re<?>ea prin decrementarea unui contor de
       octe<?>i cu fiecare pachet. Condi<?>ia se potrive<?>te pana cand
       contorul de octe<?>i ajunge la zero. Comportamentul este inversat in
       cazul nega<?>iei (de exemplu, condi<?>ia nu corespunde pana cand
       contorul de octe<?>i ajunge la zero).

       [!] --quota octe<?>i
              Cota exprimata in octe<?>i.

   rateest
       Estimatorul de rata se poate potrivi cu ratele estimate colectate de
       obiectivul RATEEST. Acesta accepta potrivirea pe baza valorilor
       absolute bps/pps, compararea a doua estimatoare de rata <?>i potrivirea
       pe baza diferen<?>ei dintre doua estimatoare de rata.

       Pentru o mai buna in<?>elegere a op<?>iunilor disponibile, acestea sunt
       toate combina<?>iile posibile:

       o   rateest operator rateest-bps

       o   rateest operator rateest-pps

       o   (rateest minus rateest-bps1) operator rateest-bps2

       o   (rateest minus rateest-pps1) operator rateest-pps2

       o   rateest1 operator rateest2 rateest-bps(fara rata!)

       o   rateest1 operator rateest2 rateest-pps(fara rata!)

       o   (rateest1 minus rateest-bps1) operator (rateest2 minus
           rateest-bps2)

       o   (rateest1 minus rateest-pps1) operator (rateest2 minus
           rateest-pps2)

       --rateest-delta
           Pentru fiecare estimator (in mod absolut sau relativ), se
           calculeaza diferen<?>a dintre debitul determinat de estimator <?>i
           valoarea statica aleasa cu op<?>iunile BPS/PPS. Daca debitul este
           mai mare decat BPS/PPS specificat, se va utiliza 0 in loc de o
           valoare negativa. Cu alte cuvinte, se utilizeaza ,,max(0,
           rateest#_rate - rateest#_bps)".

       [!] --rateest-lt
           Se potrive<?>te daca rata este mai mica decat rata/estimatorul dat.

       [!] --rateest-gt
           Se potrive<?>te daca rata este mai mare decat rata/estimatorul dat.

       [!] --rateest-eq
           Se potrive<?>te daca rata este egala cu rata/estimatorul dat.

       In a<?>a-numitul ,,mod absolut", se utilizeaza un singur estimator de
       rata <?>i se compara cu o valoare statica, in timp ce in ,,modul
       relativ", doi estimatori de rata sunt compara<?>i unul cu celalalt.

       --rateest nume
              Numele estimatorului cu o rata pentru modul absolut.

       --rateest1 nume

       --rateest2 nume
              Numele celor doi estimatori de rata pentru modul relativ.

       --rateest-bps [valoare]

       --rateest-pps [valoare]

       --rateest-bps1 [valoare]

       --rateest-bps2 [valoare]

       --rateest-pps1 [valoare]

       --rateest-pps2 [valoare]
              Compara estimatorul (estimatorii) pe octe<?>i sau pachete pe
              secunda <?>i compara cu valoarea aleasa. Consulta<?>i lista de
              puncte de mai sus pentru a afla care op<?>iune trebuie utilizata
              in fiecare caz. Se poate utiliza un sufix de unitate - cele
              disponibile sunt: bit, [kmgt]bit, [KMGT]ibit, Bps, [KMGT]Bps,
              [KMGT]iBps.

       Exemplu: Acesta este modul in care pot fi direc<?>ionate conexiunile de
       date de ie<?>ire de la un server FTP pe doua linii, in func<?>ie de
       la<?>imea de banda disponibila in momentul in care a fost ini<?>iata
       conexiunea de date:

       # Estimarea ratelor de ie<?>ire

       iptables -t mangle -A POSTROUTING -o eth0 -j RATEEST --rateest-name
       eth0 --rateest-interval 250ms --rateest-ewma 0.5s

       iptables -t mangle -A POSTROUTING -o ppp0 -j RATEEST --rateest-name
       ppp0 --rateest-interval 250ms --rateest-ewma 0.5s

       # Marcare bazata pe la<?>imea de banda disponibila

       iptables -t mangle -A balance -m conntrack --ctstate NEW -m helper
       --helper ftp -m rateest --rateest-delta --rateest1 eth0 --rateest-bps1
       2.5mbit --rateest-gt --rateest2 ppp0 --rateest-bps2 2mbit -j CONNMARK
       --set-mark 1

       iptables -t mangle -A balance -m conntrack --ctstate NEW -m helper
       --helper ftp -m rateest --rateest-delta --rateest1 ppp0 --rateest-bps1
       2mbit --rateest-gt --rateest2 eth0 --rateest-bps2 2.5mbit -j CONNMARK
       --set-mark 2

       iptables -t mangle -A balance -j CONNMARK --restore-mark

   realm (specific IPv4)
       Aceasta corespunde domeniului de direc<?>ionare. Domeniile de
       direc<?>ionare sunt utilizate in configura<?>ii de direc<?>ionare
       complexe care implica protocoale de direc<?>ionare dinamice precum BGP.

       [!] --realm valoare[/masca]
              Potrive<?>te un numar de domeniu dat (<?>i, op<?>ional, o
              masca). Daca nu este un numar, valoarea poate fi un domeniu
              numit din ,,/etc/iproute2/rt_realms" (masca nu poate fi
              utilizata in acest caz). Atat valoarea, cat <?>i masca sunt
              numere intregi fara semn de patru octe<?>i <?>i pot fi
              specificate in zecimal, hexazecimal (prin prefixarea cu "0x")
              sau octal (daca se indica un zero in fa<?>a).

   recent
       Va permite sa crea<?>i in mod dinamic o lista de adrese IP <?>i apoi sa
       le compara<?>i cu lista respectiva in mai multe moduri diferite.

       De exemplu, pute<?>i crea o lista de ,,raufacatori" cu persoanele care
       incearca sa se conecteze la portul 139 din paravanul dvs de protec<?>ie
       <?>i apoi sa ARUNCA<?>I toate pachetele viitoare de la acestea fara a
       le lua in considerare.

       --set, --rcheck, --update <?>i --remove se exclud reciproc.

       --name nume
              Specifica lista de utilizat pentru comenzi. Daca nu este
              specificat niciun nume, atunci se va utiliza DEFAULT.

       [!] --set
              Aceasta va adauga adresa sursa a pachetului in lista. Daca
              adresa sursa se afla deja in lista, aceasta va actualiza
              intrarea existenta. Aceasta va returna intotdeauna un raspuns de
              succes (sau de e<?>ec daca este specificat !).

       --rsource
              Potrive<?>te/salveaza adresa sursa a fiecarui pachet din tabelul
              listei recente. Aceasta este valoarea implicita.

       --rdest
              Potrive<?>te/salveaza adresa de destina<?>ie a fiecarui pachet
              din tabelul listei recente.

       --mask masca-re<?>ea
              Masca de re<?>ea care va fi aplicata acestei liste recente.

       [!] --rcheck
              Verifica daca adresa sursa a pachetului se afla in prezent in
              lista.

       [!] --update
              La fel ca --rcheck, cu excep<?>ia faptului ca va actualiza marca
              temporala ,,last seen" (vazut ultima data) daca se potrive<?>te.

       [!] --remove
              Verifica daca adresa sursa a pachetului se afla in prezent in
              lista <?>i, daca da, adresa respectiva va fi eliminata din
              lista, iar regula va returna ,,true". Daca adresa nu este
              gasita, se returneaza ,,false".

       --seconds secunde
              Aceasta op<?>iune trebuie utilizata impreuna cu una dintre
              op<?>iunile --rcheck sau --update. Atunci cand este utilizata,
              aceasta op<?>iune va restrange potrivirea pentru a avea loc
              numai atunci cand adresa se afla in lista <?>i a fost vazuta in
              ultimul numar dat de secunde.

       --reap Aceasta op<?>iune poate fi utilizata numai impreuna cu
              --seconds. Atunci cand este utilizata, aceasta va determina
              purjarea intrarilor mai vechi decat ultimul numar de secunde
              dat.

       --hitcount hits
              Aceasta op<?>iune trebuie utilizata impreuna cu una dintre
              op<?>iunile --rcheck sau --update. Atunci cand este utilizata,
              aceasta op<?>iune va restrange potrivirea pentru a avea loc
              numai atunci cand adresa este in lista <?>i au fost primite
              pachete mai mari sau egale cu valoarea data. Aceasta op<?>iune
              poate fi utilizata impreuna cu --seconds pentru a crea o
              potrivire <?>i mai ingusta care necesita un anumit numar de
              rezultate intr-un anumit interval de timp. Valoarea maxima
              pentru parametrul hitcount este data de parametrul
              ,,ip_pkt_list_tot" al modulului nucleului, xt_recent.
              Depa<?>irea acestei valori in linia de comanda va duce la
              respingerea regulii.

       --rttl Aceasta op<?>iune poate fi utilizata numai impreuna cu una
              dintre op<?>iunile --rcheck sau --update. Atunci cand este
              utilizata, aceasta op<?>iune va restrange potrivirea pentru a
              avea loc numai atunci cand adresa se afla in lista <?>i TTL-ul
              pachetului curent corespunde cu cel al pachetului care a
              corespuns reguii --set. Acest lucru poate fi util daca ave<?>i
              probleme cu persoane care i<?>i falsifica adresa sursa pentru a
              va face DoS prin intermediul acestui modul, interzicand accesul
              altora la situl dumneavoastra prin trimiterea de pachete false
              catre dumneavoastra.

       Exemple:

              iptables -A FORWARD -m recent --name badguy --rcheck --seconds
              60 -j DROP

              iptables -A FORWARD -p tcp -i eth0 --dport 139 -m recent --name
              badguy --set -j DROP

       /proc/net/xt_recent/* sunt listele actuale de adrese <?>i informa<?>ii
       despre fiecare intrare din fiecare lista.

       Fiecare fi<?>ier din /proc/net/xt_recent/ poate fi citit pentru a vedea
       lista curenta sau scris folosind urmatoarele comenzi pentru a modifica
       lista:

       echo +addr >/proc/net/xt_recent/DEFAULT
              pentru a adauga adresa la lista DEFAULT

       echo -addr >/proc/net/xt_recent/DEFAULT
              pentru a elimina adresa din lista DEFAULT

       echo / >/proc/net/xt_recent/DEFAULT
              pentru a goli lista DEFAULT (a elimina toate intrarile).

       Modulul in sine accepta parametri, cu valorile implicite afi<?>ate:

       ip_list_tot=100
              Numarul de adrese memorate per tabel.

       ip_pkt_list_tot=20
              Numarul de pachete per adresa memorat.

       ip_list_hash_size=0
              Marimea tabelului Hash. 0 inseamna calcularea acesteia pe baza
              ip_list_tot, implicit: 512.

       ip_list_perms=0644
              Permisiuni pentru fi<?>ierele ,,/proc/net/xt_recent/*".

       ip_list_uid=0
              UID numeric pentru proprietarul fi<?>ierelor
              ,,/proc/net/xt_recent/*".

       ip_list_gid=0
              GID numeric pentru proprietarul fi<?>ierelor
              ,,/proc/net/xt_recent/*".

   rpfilter
       Efectueaza un test de filtrare a rutei inverse pe un pachet.  Daca un
       raspuns la pachet ar fi trimis prin aceea<?>i interfa<?>a pe care a
       sosit pachetul, pachetul va corespunde. Re<?>ine<?>i ca, spre deosebire
       de rp_filter din nucleu, pachetele protejate prin IPSec nu sunt tratate
       in mod special. Combina<?>i aceasta potrivire cu potrivirea de politica
       daca dori<?>i acest lucru. De asemenea, pachetele care sosesc prin
       interfa<?>a ,,loopback" sunt intotdeauna permise. Aceasta potrivire
       poate fi utilizata numai in lan<?>ul PREROUTING din tabelul ,,raw" sau
       ,,mangle".

       --loose
              Utilizat pentru a specifica faptul ca testul filtrului de cale
              inversa trebuie sa corespunda chiar daca dispozitivul de
              ie<?>ire selectat nu este cel a<?>teptat.

       --validmark
              De asemenea, utilizeaza valoarea ,,nfmark" a pachetelor atunci
              cand efectueaza cautarea rutei pe calea inversa.

       --accept-local
              Acest lucru va permite pachetelor care sosesc din re<?>ea cu o
              adresa sursa care este, de asemenea, atribuita calculatorului
              local.

       --invert
              Aceasta va inversa sensul potrivirii. In loc sa se potriveasca
              pachetele care au trecut testul filtrului de cale inversa, se
              potrivesc cele care nu l-au trecut.

       Exemplu de inregistrare <?>i eliminare a pachetelor care nu trec testul
       filtrului de cale inversa:

       iptables -t raw -N RPFILTER

       iptables -t raw -A RPFILTER -m rpfilter -j RETURN

       iptables -t raw -A RPFILTER -m limit --limit 10/minute -j NFLOG
       --nflog-prefix "rpfilter drop"

       iptables -t raw -A RPFILTER -j DROP

       iptables -t raw -A PREROUTING -j RPFILTER

       Exemplu pentru a respinge pachetele e<?>uate, fara inregistrare in
       jurnal:

       iptables -t raw -A RPFILTER -m rpfilter --invert -j DROP

   rt (IPv6-specific)
       Potrivire pe antetul de direc<?>ionare IPv6

       [!] --rt-type tip
              Potrive<?>te tipul (numeric).

       [!] --rt-segsleft numar[:numar]
              Potrive<?>te campul ,,segmente din stanga" (interval).

       [!] --rt-len lungime
              Potrive<?>te lungimea acestui antet.

       --rt-0-res
              Potrive<?>te <?>i campul rezervat (type=0)

       --rt-0-addrs adresa[,adresa...]
              Potrive<?>te adresele de tip 0 ,,type=0" (lista).

       --rt-0-not-strict
              Lista de adrese de tip 0 ,,type=0" nu este o lista stricta.

   sctp
       Acest modul se potrive<?>te cu antetele ,,Stream Control Transmission
       Protocol" (protocol de transmisie cu control al fluxului).

       [!] --source-port,--sport port[:port]

       [!] --destination-port,--dport port[:port]

       [!] --chunk-types {all|any|only} tip-bucata[:fanioane] [...]
              Literele fanionului in majuscule indica faptul ca fanionul
              trebuie sa corespunda daca este activat, in minuscule indica
              faptul ca trebuie sa corespunda daca nu este activat.

              Tipuri de potrivire:

       all    Se potrive<?>te daca toate tipurile de buca<?>i date sunt
              prezente <?>i fanioanele corespund.

       any    Se potrive<?>te daca oricare dintre tipurile de buca<?>i date
              este prezent cu fanioanele date.

       only   Se potrive<?>te daca numai tipurile de buca<?>i date sunt
              prezente cu fanioanele date <?>i niciunul nu lipse<?>te.

              Tipuri de buca<?>i: DATA INIT INIT_ACK SACK HEARTBEAT
              HEARTBEAT_ACK ABORT SHUTDOWN SHUTDOWN_ACK ERROR COOKIE_ECHO
              COOKIE_ACK ECN_ECNE ECN_CWR SHUTDOWN_COMPLETE I_DATA RE_CONFIG
              PAD ASCONF ASCONF_ACK FORWARD_TSN I_FORWARD_TSN

              tip de bucata, fanioane disponibile
              DATA I U B E i u b e
              I_DATA I U B E i u b e
              ABORT T t
              SHUTDOWN_COMPLETE T t

              (minuscule inseamna ca steagul trebuie sa fie ,,dezactivat",
              majuscule inseamna ,,activat")

       Exemple:

       iptables -A INPUT -p sctp --dport 80 -j DROP

       iptables -A INPUT -p sctp --chunk-types any DATA,INIT -j DROP

       iptables -A INPUT -p sctp --chunk-types any DATA:Be -j ACCEPT

   set
       Acest modul corespunde seturilor IP care pot fi definite prin ipset(8).

       [!] --match-set nume-set fanion[,fanion]...
              unde fanioanele sunt lista de specifica<?>ii src <?>i/sau dst
              separate prin virgule <?>i nu pot fi mai mult de <?>ase. Prin
              urmare, comanda

               iptables -A FORWARD -m set --match-set test src,dst

              va potrivi pachetele pentru care (daca tipul de set este
              ipportmap) perechea adresa sursa <?>i port destina<?>ie poate fi
              gasita in setul specificat. Daca tipul setului specificat este
              de dimensiune unica (de exemplu, ipmap), atunci comanda va
              potrivi pachetele pentru care adresa sursa poate fi gasita in
              setul specificat.

       --return-nomatch
              Daca este specificata op<?>iunea --return-nomatch <?>i tipul de
              set accepta fanionul nomatch, atunci potrivirea este inversata:
              o potrivire cu un element marcat cu nomatch returneaza true, in
              timp ce o potrivire cu un element simplu returneaza false.

       ! --update-counters
              Daca op<?>iunea --update-counters este negata, atunci contoarele
              de pachete <?>i de octe<?>i ale elementului corespunzator din
              set nu vor fi actualizate. In mod implicit, contoarele de
              pachete <?>i de octe<?>i sunt actualizate.

       ! --update-subcounters
              Daca op<?>iunea --update-subcounters este negata, atunci
              contoarele de pachete <?>i de octe<?>i ale elementului
              corespunzator din setul membru al unei liste de tip set nu vor
              fi actualizate. In mod implicit, contoarele de pachete <?>i de
              octe<?>i sunt actualizate.

       [!] --packets-eq valoare
              Daca pachetul se potrive<?>te cu un element din set, se
              potrive<?>te numai daca <?>i contorul de pachete al elementului
              se potrive<?>te cu valoarea data.

       --packets-lt valoare
              Daca pachetul se potrive<?>te cu un element din set, se
              potrive<?>te numai daca <?>i contorul de pachete al elementului
              este mai mic decat valoarea data.

       --packets-gt valoare
              Daca pachetul se potrive<?>te cu un element din set, se
              potrive<?>te numai daca contorul de pachete al elementului este
              mai mare decat valoarea data.

       [!] --bytes-eq valoare
              Daca pachetul se potrive<?>te cu un element din set, se
              potrive<?>te numai daca <?>i contorul de octe<?>i al elementului
              se potrive<?>te cu valoarea data.

       --bytes-lt valoare
              Daca pachetul se potrive<?>te cu un element din set, se
              potrive<?>te numai daca contorul de octe<?>i al elementului este
              mai mic decat valoarea data.

       --bytes-gt valoare
              Daca pachetul se potrive<?>te cu un element din set, se
              potrive<?>te numai daca contorul de octe<?>i al elementului este
              mai mare decat valoarea data.

       Op<?>iunile <?>i fanioanele aferente contoarelor de pachete <?>i de
       octe<?>i sunt ignorate atunci cand setul a fost definit fara suport
       pentru contoare.

       Op<?>iunea --match-set poate fi inlocuita cu --set daca aceasta nu
       intra in conflict cu o op<?>iune a altor extensii.

       Utilizarea lui -m set necesita ca suportul pentru nucleu ipset sa fie
       furnizat, ceea ce, pentru nucleele standard, este cazul incepand cu
       Linux 2.6.39.

   soclu
       Se potrive<?>te daca un soclu TCP/UDP deschis poate fi gasit prin
       cautarea unui soclu pe pachet. Se potrive<?>te in cazul in care exista
       un soclu de ascultare stabilit sau conectat in mod diferit de zero
       (eventual cu o adresa non-locala). Cautarea se efectueaza utilizand
       tuplele packet ale pachetelor TCP/UDP sau antetul TCP/UDP original
       embedded dintr-un pachet de eroare ICMP/ICPMv6.

       --transparent
              Ignora soclurile netransparente.

       --nowildcard
              Nu ignora soclurile legate la adresa ,,oricare". In mod
              implicit, potrivirea soclurilor nu va accepta ascultatori
              lega<?>i de zero, deoarece astfel serviciile locale ar putea
              intercepta traficul care altfel ar fi redirec<?>ionat. Prin
              urmare, aceasta op<?>iune are implica<?>ii de securitate atunci
              cand este utilizata pentru a potrivi traficul redirec<?>ionat
              pentru a redirec<?>iona astfel de pachete catre ma<?>ina locala
              cu politica de direc<?>ionare. Atunci cand se utilizeaza
              potrivirea soclului pentru a implementa proxy-uri complet
              transparente legate la adrese non-locale, se recomanda
              utilizarea op<?>iunii ,,--transparent".

       Exemplu (presupunand ca pachetele cu marcajul 1 sunt livrate local):

              -t mangle -A PREROUTING -m socket --transparent -j MARK
              --set-mark 1

       --restore-skmark
              Stabile<?>te marca pachetului la marca soclului corespunzator.
              Poate fi combinata cu op<?>iunile --transparent <?>i
              --nowildcard pentru a restric<?>iona soclurile care trebuie sa
              corespunda atunci cand se restabile<?>te marca pachetului.

       Exemplu: O aplica<?>ie deschide 2 socluri transparente (IP_TRANSPARENT)
       <?>i le marcheaza cu op<?>iunea de soclu SO_MARK. Putem filtra
       pachetele corespunzatoare:

              -t mangle -I PREROUTING -m socket --transparent --restore-skmark
              -j action

              -t mangle -A action -m mark --mark 10 -j action2

              -t mangle -A action -m mark --mark 11 -j action3

   state
       Extensia ,,state" este un subset al modulului ,,conntrack".  ,,state"
       permite accesul la starea de urmarire a conexiunii pentru acest pachet.

       [!] --state starea
              Unde ,,state" este o lista separata prin virgule a starilor
              conexiunii care trebuie sa corespunda. Numai un subset de stari
              in<?>elese de ,,conntrack" sunt recunoscute: INVALID,
              ESTABLISHED, NEW, RELATED sau UNTRACKED. Pentru descrierea
              acestora, consulta<?>i rubrica ,,conntrack" din aceasta pagina
              de manual.

   statistic
       Acest modul potrive<?>te pachetele pe baza unor condi<?>ii statistice.
       Accepta doua moduri distincte stabilite cu op<?>iunea --mode.

       Op<?>iuni acceptate:

       --mode mod
              Stabile<?>te modul de potrivire al regulii de potrivire,
              modurile acceptate sunt random <?>i nth.

       [!] --probability p
              Define<?>te probabilitatea ca un pachet sa fie comparat
              aleatoriu. Func<?>ioneaza numai cu modul random. p trebuie sa
              fie intre 0,0 <?>i 1,0. Gradul de fine<?>e acceptat este in
              incremente de 1/2147483648.

       [!] --every n
              Potrive<?>te un pachet la fiecare al n-lea pachet.
              Func<?>ioneaza numai cu modul nth (a se vedea <?>i op<?>iunea
              --packet).

       --packet p
              Stabile<?>te valoarea ini<?>iala a contorului (0 <= p <= n-1,
              implicit 0) pentru modul nth.

   string
       Acest modul potrive<?>te un <?>ir dat folosind o strategie de potrivire
       a modelelor. Necesita un nucleu linux >= 2.6.14.

       --algo {bm|kmp}
              Selecteaza strategia de potrivire a modelelor. (bm =
              Boyer-Moore, kmp = Knuth-Pratt-Morris)

       --from pozi<?>ia
              Stabile<?>te pozi<?>ia de la care incepe cautarea oricarei
              potriviri. Daca nu este specificata, valoarea implicita este 0.

       --to pozi<?>ia
              Stabile<?>te pozi<?>ia pana la care trebuie scanat. Adica,
              octetul pozi<?>ia-1 (numarand de la 0) este ultimul care este
              scanat. Daca nu este specificata, valoarea implicita este
              dimensiunea pachetului.

       [!] --string model
              Potrive<?>te modelul dat.

       [!] --hex-string model
              Potrive<?>te modelul dat.

       --icase
              Nu face distinc<?>ie intre majuscule <?>i minuscule atunci cand
              cauta.

       Exemple:

              # Modelul de <?>ir poate fi utilizat pentru caractere simple de
              text.
              iptables -A INPUT -p tcp --dport 80 -m string --algo bm --string
              'GET /index.html' -j LOG

              # Modelul de <?>ir hexazecimal poate fi utilizat pentru
              caractere neimprimabile, precum |0D 0A| sau |0D0A|.
              iptables -p udp --dport 53 -m string --algo bm --from 40 --to 57
              --hex-string '|03|www|09|netfilter|03|org|00|'

       Nota: Deoarece Boyer-Moore (BM) efectueaza cautari de potrivire de la
       dreapta la stanga, iar nucleul poate stoca un pachet in mai multe
       blocuri discontinue, este posibil ca o potrivire sa fie raspandita pe
       mai multe blocuri, caz in care acest algoritm nu o va gasi.

       Daca dori<?>i sa va asigura<?>i ca un astfel de lucru nu se va intampla
       niciodata, utiliza<?>i in schimb algoritmul Knuth-Pratt-Morris (KMP).
       In concluzie, alege<?>i algoritmul adecvat de cautare a <?>irurilor de
       caractere in func<?>ie de cazul dvs. de utilizare.

       De exemplu, daca utiliza<?>i modulul pentru filtrare, NIDS sau orice
       alt scop similar axat pe securitate, atunci alege<?>i KMP. Pe de alta
       parte, daca va pasa cu adevarat de performan<?>a - de exemplu,
       clasifica<?>i pachetele pentru a aplica politici de calitate a
       serviciului (QoS) - <?>i nu va deranjeaza sa pierde<?>i posibile
       potriviri raspandite pe mai multe fragmente, atunci alege<?>i BM.

   tcp
       Aceste extensii pot fi utilizate daca este specificata op<?>iunea
       ,,--protocol tcp". Acesta ofera urmatoarele op<?>iuni:

       [!] --source-port,--sport port[:port]
              Specificarea portului sursa sau a intervalului de porturi.
              Acesta poate fi fie un nume de serviciu, fie un numar de port.
              De asemenea, poate fi specificat un interval inclusiv, folosind
              formatul primul:ultimul.  Daca primul port este omis, se
              presupune ,,0"; daca ultimul este omis, se presupune ,,65535".
              Op<?>iunea --sport este un alias convenabil pentru aceasta
              op<?>iune.

       [!] --destination-port,--dport port[:port]
              Specificarea portului de destina<?>ie sau a intervalului de
              porturi. Op<?>iunea --dport este un alias convenabil pentru
              aceasta op<?>iune.

       [!] --tcp-flags masca comp
              Se potrive<?>te atunci cand fanioanele TCP sunt cele
              specificate. Primul argument masca reprezinta fanioanele pe care
              trebuie sa le examinam, scrise ca o lista separata prin virgule,
              iar al doilea argument comp este o lista separata prin virgule
              de fanioane care trebuie sa fie activate. Fanioanele sunt: SYN
              ACK FIN RST URG PSH ALL NONE.  Prin urmare, comanda
               iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST SYN
              se va potrivi numai pachetelor cu fanionul SYN activat, iar
              fanioanele ACK, FIN <?>i RST dezactivate.

       [!] --syn
              Se potrivesc numai pachetele TCP cu bitul SYN activat <?>i
              bi<?>ii ACK, RST <?>i FIN dezactiva<?>i. Aceste pachete sunt
              utilizate pentru a solicita ini<?>ierea unei conexiuni TCP; de
              exemplu, blocarea acestor pachete care intra intr-o interfa<?>a
              va impiedica conexiunile TCP de intrare, dar conexiunile TCP de
              ie<?>ire nu vor fi afectate. Este echivalenta cu --tcp-flags
              SYN,RST,ACK,FIN SYN.  Daca fanionul ,,!" precede ,,--syn",
              sensul op<?>iunii este inversat.

       [!] --tcp-option numar
              Se potrive<?>te daca op<?>iunea TCP este activata.

   tcpmss
       Aceasta corespunde campului TCP MSS (dimensiunea maxima a segmentului)
       din antetul TCP. Pute<?>i utiliza acest parametru numai pe pachetele
       TCP SYN sau SYN/ACK, deoarece MSS este negociat numai in timpul
       protocolului TCP de negociere ,,handshake" la momentul ini<?>ierii
       conexiunii.

       [!] --mss valoare[:valoare]
              Potrive<?>te o valoare sau un interval TCP MSS dat. Daca este
              dat un interval, a doua valoare trebuie sa fie mai mare sau
              egala cu prima valoare.

   time
       Aceasta op<?>iune se potrive<?>te daca data/ora de sosire a pachetului
       se incadreaza intr-un interval dat Toate op<?>iunile sunt op<?>ionale,
       dar sunt evaluate cu ,,AND" atunci cand sunt specificate.Toate orele
       sunt interpretate implicit ca UTC.

       --datestart AAAA[-LL[-ZZ[Thh[:mm[:ss]]]]]

       --datestop AAAA[-LL[-ZZ[Thh[:mm[:ss]]]]]
              Se potrive<?>te numai in timpul dat, care trebuie sa fie in
              nota<?>ia ISO 8601 ,,T". Intervalul de timp posibil este
              1970-01-01T00:00:00 pana la 2038-01-19T04:17:07.

              In cazul in care ,,--datestart" sau ,,--datestop" nu sunt
              specificate, se va alege in mod implicit 1970-01-01 <?>i,
              respectiv, 2038-01-19.

       --timestart hh:mm[:ss]

       --timestop hh:mm[:ss]
              Se potrive<?>te numai in timpul zilei date. Intervalul de timp
              posibil este de la 00:00:00 la 23:59:59. Zerourile ini<?>iale
              sunt permise (de exemplu, ,,06:03") <?>i sunt interpretate
              corect ca baza 10.

       [!] --monthdays ziua[,ziua...]
              Se potrive<?>te numai in zilele lunii date. Valorile posibile
              sunt de la 1 la 31. Re<?>ine<?>i ca specificarea 31 nu se va
              potrivi, binein<?>eles, lunilor care nu au ziua 31; acela<?>i
              lucru este valabil <?>i pentru luna februarie cu 28 sau 29 de
              zile.

       [!] --weekdays ziua[,ziua...]
              Se potrive<?>te numai in zilele saptamanii date. Valorile
              posibile sunt Mon, Tue, Wed, Thu, Fri, Sat, Sun sau valori de la
              1 la 7, respectiv. Se pot utiliza <?>i variante cu doua
              caractere (Mo, Tu etc.).

       --contiguous
              Atunci cand valoarea --timestop este mai mica decat valoarea
              --timestart, se potrive<?>te ca o singura perioada de timp in
              loc de intervale distincte.  A se vedea EXEMPLE.

       --kerneltz
              Utilizeaza fusul orar al nucleului in loc de UTC pentru a
              determina daca un pachet respecta reglementarile temporale.

       Despre fusurile orare ale nucleului: Linux pastreaza ora sistemului in
       UTC, <?>i intotdeauna face acest lucru. La pornire, ora sistemului este
       ini<?>ializata de la o sursa de timp referen<?>iala. In cazul in care
       aceasta sursa de timp nu are informa<?>ii privind fusul orar, cum ar fi
       RTC-ul CMOS x86, se va presupune UTC. In cazul in care sursa de timp nu
       este totu<?>i in UTC, spa<?>iul utilizatorului ar trebui sa furnizeze
       nucleului ora corecta a sistemului <?>i fusul orar, odata ce dispune de
       informa<?>ii.

       Ora locala este o caracteristica a orei de sistem (independenta de
       fusul orar). Fiecare proces are propria sa idee despre ora locala,
       specificata prin intermediul variabilei de mediu TZ. Nucleul are, de
       asemenea, propria sa variabila de decalaj al fusului orar. Variabila de
       mediu userpace TZ specifica modul in care este afi<?>ata ora sistemului
       bazata pe UTC, de exemplu atunci cand executa<?>i date(1) sau ceea ce
       vede<?>i pe ceasul de pe birou. <?>irul TZ se poate rezolva la diferite
       decalaje la date diferite, ceea ce permite saltul automat al orei in
       spa<?>iul utilizatorilor. atunci cand se schimba ora de vara. Variabila
       de decalare a fusului orar a nucleului este utilizata atunci cand
       trebuie sa converteasca surse non-UTC, cum ar fi sistemele de fi<?>iere
       FAT, in UTC (deoarece acesta din urma este cel utilizat de restul
       sistemului).

       Problema cu fusul orar al nucleului este ca distribu<?>iile Linux pot
       ignora configurarea fusului orar al nucleului <?>i, in schimb, pot
       configura doar ora sistemului. Chiar daca o anumita distribu<?>ie
       configureaza fusul orar la pornire, de obicei nu men<?>ine actualizat
       decalajul fusului orar al nucleului, care este cel care se modifica in
       func<?>ie de ora de vara. ntpd nu va modifica fusul orar al nucleului,
       astfel incat rularea sa nu va rezolva problema. Astfel, este posibil sa
       se intalneasca un fus orar care este intotdeauna +0000 sau unul care
       este gre<?>it jumatate din timpul anului. Ca atare, utilizarea
       --kerneltz este foarte descurajata.

       EXEMPLE. Pentru a potrivi in ,,weekend", utiliza<?>i:

              -m time --weekdays Sa,Su

       Sau, sa se potriveasca (o data) pe un bloc de sarbatoare na<?>ionala:

              -m time --datestart 2007-12-24 --datestop 2007-12-27

       Deoarece timpul de oprire este de fapt inclusiv, ar trebui ca urmatorul
       timp de oprire sa nu coincida cu prima secunda a noii zile:

              -m time --datestart 2007-01-01T17:00 --datestop
              2007-01-01T23:59:59

       In timpul pranzului:

              -m time --timestart 12:30 --timestop 13:30

       A patra zi de vineri din luna:

              -m time --weekdays Fr --monthdays 22,23,24,25,26,27,28

       Re<?>ine<?>i ca acest lucru exploateaza o anumita proprietate
       matematica. Nu este posibil sa se spuna ,,a patra zi de joi SAU a patra
       zi de vineri" intr-o singura regula. Este posibil, totu<?>i, cu mai
       multe reguli.

       Potrivirea intre zile ar putea sa nu aiba efectul scontat. De exemplu,

              ,,-m time --weekdays Mo --timestart 23:00 --timestop 01:00"  Se
              va potrivi luni, timp de o ora, de la miezul nop<?>ii pana la
              ora 1 a.m., <?>i apoi din nou timp de inca o ora, de la ora
              23:00 incolo. Daca acest lucru nu este dorit, de exemplu, daca
              dori<?>i ,,sa se potriveasca timp de doua ore incepand de luni
              de la ora 23:00", trebuie sa specifica<?>i <?>i op<?>iunea
              ,,--contiguous" in exemplul de mai sus.

   tos
       Acest modul corespunde campului ,,Type of Service" pe 8 bi<?>i din
       antetul IPv4 (adica inclusiv bi<?>ii ,,Precedence") sau campului
       ,,Priority" (tot pe 8 bi<?>i) din antetul IPv6.

       [!] --tos valoare[/masca]
              Potrive<?>te pachetele cu valoarea indicatorului TOS data. Daca
              este specificata o masca, aceasta este logic evaluata AND cu
              marcajul TOS inainte de compara<?>ie.

       [!] --tos simbol
              Pute<?>i specifica un nume simbolic atunci cand utiliza<?>i
              potrivirea tos pentru IPv4. Lista de nume TOS recunoscute poate
              fi ob<?>inuta apeland iptables cu -m tos -h.  Re<?>ine<?>i ca
              acest lucru implica o masca de 0x3F, adica to<?>i bi<?>ii, cu
              excep<?>ia celor ECN.

   ttl (specific IPv4)
       Acest modul se potrive<?>te cu campul ,,time to live" din antetul IP.

       [!] --ttl-eq ttl
              Se potrive<?>te cu valoarea TTL data.

       --ttl-gt ttl
              Se potrive<?>te daca TTL este mai mare decat valoarea TTL data.

       --ttl-lt ttl
              Se potrive<?>te daca TTL este mai mic decat valoarea TTL data.

   u32
       U32 testeaza daca cantita<?>i de pana la 4 octe<?>i extrase dintr-un
       pachet au valorile specificate. Specificarea a ceea ce trebuie extras
       este suficient de generala pentru a gasi date la anumite distan<?>e din
       antetele sau sarcinile utile tcp.

       [!] --u32 tests
              Argumentul reprezinta un program intr-un mic limbaj descris mai
              jos.

              tests := location "=" value | tests "&&" location "=" value

              value := range | value "," range

              range := number | number ":" number

       un singur numar, n, este interpretat la fel ca n:n. n:m este
       interpretat ca intervalul de numere >=n <?>i <=m.


           location := number | location operator number


           operator := "&" | "<<" | ">>" | "@"

       Operatorii &, <<, >> <?>i && au acela<?>i in<?>eles ca in C. = este de
       fapt un operator de apartenen<?>a la un set, iar sintaxa valorii
       descrie un set. Operatorul @ este cel care permite trecerea la
       urmatorul antet <?>i este descris mai jos.

       In prezent, exista unele limite artificiale de implementare privind
       dimensiunea testelor:

           *  nu mai mult de 10 ,,=" (<?>i 9 ,,&&"s) in argumentul u32

           *  nu mai mult de 10 intervale (<?>i 9 virgule) pentru fiecare
              valoare

           *  nu mai mult de 10 numere (<?>i 9 operatori) pe loca<?>ie

       Pentru a descrie semnifica<?>ia loca<?>iei, imagina<?>i-va urmatoarea
       ma<?>ina care o interpreteaza. Exista trei registre:

              A este de tip char *, ini<?>ial adresa antetului IP

              B <?>i C sunt numere intregi de 32 de bi<?>i fara semn,
              ini<?>ial zero

       Instruc<?>iunile sunt:

       number B = number;

              C = (*(A+B)<<24) + (*(A+B+1)<<16) + (*(A+B+2)<<8) + *(A+B+3)

       &number
              C = C & number

       << number
              C = C << number

       >> number
              C = C >> number

       @number
              A = A + C; apoi efectueaza instruc<?>iunea ,,number"

       Orice acces la memorie in afara [skb->data,skb->end] face ca potrivirea
       sa e<?>ueze. In caz contrar, rezultatul calculului este valoarea finala
       a lui C.

       Spa<?>iul alb este permis, dar nu este obligatoriu in teste. Cu toate
       acestea, caracterele care apar acolo sunt susceptibile de a necesita
       citarea folosita in shell, deci este o idee buna sa include<?>i
       argumentele intre ghilimele.

       Exemplu:

              se potrivesc pachetelor IP cu lungimea totala >= 256

              Antetul IP con<?>ine un camp cu lungimea totala in octe<?>i 2-3.

              --u32 "0 & 0xFFFF = 0x100:0xFFFF"

              cite<?>te octe<?>ii 0-3

              AND logic cu 0xFFFF (furnizeaza octe<?>i 2-3) <?>i verifica daca
              aceasta valoare se afla in intervalul permis [0x100: 0xffff]

       Exemplu: (mai realist, a<?>adar mai complicat)

              potrive<?>te pachetele ICMP cu tipul icmp 0

              Mai intai se testeaza daca este un pachet ICMP, adevarat daca
              octetul 9 (protocol) = 1

              --u32 "6 & 0xFF = 1 && ...

              cite<?>te octe<?>ii 6-9, folose<?>te & pentru a inlatura
              octe<?>ii 6-8 <?>i compara rezultatul cu 1. Apoi verifica daca
              nu este un fragment; (daca este, ar putea face parte dintr-un
              astfel de pachet, dar nu ne putem da seama intotdeauna.) N.B.:
              Acest test este in general necesar daca dori<?>i sa potrivi<?>i
              ceva dincolo de antetul IP. Ultimii 6 bi<?>i din octetul 6 <?>i
              to<?>i cei din octetul 7 sunt 0 daca acesta este un pachet
              complet (nu un fragment). Alternativ, pute<?>i permite primele
              fragmente testand doar ultimii 5 bi<?>i ai octetului 6.

              ... 4 & 0x3FFF = 0 && ...

              Ultimul test: primul octet dupa antetul IP (tipul) este 0. Aici
              trebuie sa folosim @syntax. Lungimea antetului IP (IHL) in
              cuvinte de 32 de bi<?>i este stocata in jumatatea dreapta a
              octetului 0 din antetul IP in sine.

              ... 0 >> 22 & 0x3C @ 0 >> 24 = 0"

              Primul 0 inseamna citirea octe<?>ilor 0-3, >>22 inseamna
              deplasarea celor 22 de bi<?>i la dreapta. Deplasarea a 24 de
              bi<?>i ar da primul octet, deci numai 22 de bi<?>i inseamna de
              patru ori mai mult decat atat plus ca<?>iva bi<?>i. &3C elimina
              apoi cei doi bi<?>i suplimentari din dreapta <?>i primii patru
              bi<?>i ai primului octet. De exemplu, daca IHL=5, atunci antetul
              IP are o lungime de 20 (4 x 5) de octe<?>i. In acest caz,
              octe<?>ii 0-1 sunt (in binar) xxxx0101 yyzzzzzz, >>22 da
              valoarea pe 10 bi<?>i xxxx0101yy <?>i &3C da 010100. @ inseamna
              sa se utilizeze acest numar ca un nou decalaj in pachet <?>i sa
              se citeasca patru octe<?>i incepand de acolo. Ace<?>tia sunt
              primii 4 octe<?>i din sarcina utila ICMP, din care octetul 0
              este tipul ICMP. Prin urmare, pur <?>i simplu deplasam valoarea
              24 la dreapta pentru a inlatura tot cu excep<?>ia primului octet
              <?>i comparam rezultatul cu 0.

       Exemplu:

              Octe<?>ii de sarcina utila TCP 8-12 sunt oricare dintre 1, 2, 5
              sau 8

              Mai intai testam daca pachetul este un pachet tcp (similar cu
              ICMP).

              --u32 "6 & 0xFF = 6 && ...

              Apoi, se testeaza daca nu este un fragment (la fel ca mai sus).

              ... 0 >> 22 & 0x3C @ 12 >> 26 & 0x3C @ 8 = 1,2,5,8"

              0>>22&3C calculeaza ca mai sus numarul de octe<?>i din antetul
              IP. @ face din acesta noul decalaj in pachet, care este
              inceputul antetului TCP. Lungimea antetului TCP (din nou in
              cuvinte de 32 de bi<?>i) este jumatatea stanga a octetului 12
              din antetul TCP. 12>>26&3C calculeaza aceasta lungime in
              octe<?>i (similar cu antetul IP anterior). ,,@" face ca acesta
              sa fie noul decalaj, care este inceputul incarcaturii utile TCP.
              In cele din urma, 8 cite<?>te octe<?>ii 8-12 din sarcina utila
              <?>i = verifica daca rezultatul este oricare dintre 1, 2, 5 sau
              8.

   udp
       Aceste extensii pot fi utilizate daca este specificat ,,---protocol
       udp". Acesta ofera urmatoarele op<?>iuni:

       [!] --source-port,--sport port[:port]
              Specificarea portului sursa sau a intervalului de porturi.
              Pentru detalii, consulta<?>i descrierea op<?>iunii --source-port
              a extensiei TCP.

       [!] --destination-port,--dport port[:port]
              Specificarea portului de destina<?>ie sau a intervalului de
              porturi. Pentru detalii, consulta<?>i descrierea op<?>iunii
              --destination-port a extensiei TCP.

EXTENSII PENTRU <?>INTA
       iptables poate utiliza module <?>inta extinse: urmatoarele sunt incluse
       in distribu<?>ia standard.

   AUDIT
       Aceasta <?>inta creeaza inregistrari de audit pentru pachetele care
       ating <?>inta. Acesta poate fi utilizat pentru a inregistra pachetele
       acceptate, abandonate <?>i respinse. Consulta<?>i auditd(8) pentru
       detalii suplimentare.

       --type {accept|drop|reject}
              Stabile<?>te tipul inregistrarii de audit. Incepand cu
              linux-4.12, aceasta op<?>iune nu mai are niciun efect asupra
              mesajelor de audit generate. Este inca acceptata de iptables din
              motive de compatibilitate, dar este ignorata.

       Exemplu:

              iptables -N AUDIT_DROP

              iptables -A AUDIT_DROP -j AUDIT

              iptables -A AUDIT_DROP -j DROP

   CHECKSUM
       Aceasta <?>inta func<?>ioneaza selectiv in jurul aplica<?>iilor
       vechi/nefunc<?>ionale. Poate fi utilizata numai in tabelul de
       ,,mangle".

       --checksum-fill
              Calculeaza <?>i completeaza suma de control intr-un pachet care
              nu are o suma de control. Acest lucru este deosebit de util in
              cazul in care trebuie sa lucra<?>i cu aplica<?>ii vechi, cum ar
              fi clien<?>ii dhcp, care nu func<?>ioneaza bine cu descarcarea
              sumelor de control, dar nu dori<?>i sa dezactiva<?>i descarcarea
              sumelor de control in dispozitivul dumneavoastra.

   CLASSIFY
       Acest modul va permite sa stabili<?>i valoarea skb->priority (<?>i
       astfel sa clasifica<?>i pachetul intr-o anumita clasa CBQ).

       --set-class major:minor
              Stabile<?>te valoarea clasei majore <?>i minore. Valorile sunt
              intotdeauna interpretate ca fiind hexazecimale, chiar daca nu
              este dat prefixul 0x.

   CLUSTERIP (specific IPv4)
       Acest modul va permite sa configura<?>i un cluster simplu de noduri
       care impart o anumita adresa IP <?>i MAC fara a avea in fa<?>a lor un
       distribuitor de sarcina explicit. Conexiunile sunt distribuite static
       intre nodurile din acest cluster.

       Va rugam sa re<?>ine<?>i ca obiectivul ,,CLUSTERIP" este considerat
       depreciat in favoarea ,,cluster match", care este mai flexibil <?>i nu
       este limitat la IPv4.

       --new  Creeaza un nou ClusterIP.  Intotdeauna trebuie sa defini<?>i
              acest lucru la prima regula pentru un anumit ClusterIP.

       --hashmode mod
              Specifica modul de ,,hashing" (calculare a sumelor de control).
              Trebuie sa fie unul dintre sourceip, sourceip-sourceport,
              sourceip-sourceport-destport.

       --clustermac mac
              Specifica adresa MAC ClusterIP. Trebuie sa fie o adresa de
              multicast in stratul de legatura(conexiune)

       --total-nodes numar
              Numarul total de noduri din acest cluster.

       --local-node numar
              Numarul nodului local din cadrul acestui cluster.

       --hash-init rnd
              Specifica saman<?>a aleatorie utilizata pentru ini<?>ializarea
              calcularii sumelor de controli.

   CONNMARK
       Acest modul stabile<?>te valoarea marcajului netfilter asociat cu o
       conexiune. Marca are o la<?>ime de 32 de bi<?>i.

       --set-xmark valoare[/masca]
              Anularea bi<?>ilor indica<?>i de masca <?>i XOR valoare in
              ctmark.

       --save-mark [--nfmask nfmask] [--ctmask ctmask]
              Copiaza marca pachetului (nfmark) in marca conexiunii (ctmark)
              folosind ma<?>tile date. Noua valoare nfmark este determinata
              dupa cum urmeaza:

              ctmark = (ctmark & ~ctmask) ^ (nfmark & nfmask)

              adica ctmask define<?>te ce bi<?>i trebuie <?>ter<?>i <?>i
              nfmask ce bi<?>i din nfmark trebuie XOR in ctmark. ctmask <?>i
              nfmask au valoarea implicita 0xFFFFFFFF.

       --restore-mark [--nfmask nfmask] [--ctmask ctmask]
              Copiaza marca de conexiune (ctmark) in marca de pachet (nfmark)
              folosind ma<?>tile date. Noua valoare ctmark este determinata
              dupa cum urmeaza:

              nfmark = (nfmark & ~nfmask) ^ (ctmark & ctmask);

              adica nfmask define<?>te ce bi<?>i se <?>terg <?>i ctmask ce
              bi<?>i din ctmark se XOR in nfmark. ctmask <?>i nfmask au
              valoarea implicita 0xFFFFFFFF.

              --restore-mark este valabila numai in tabelul mangle.

       Urmatoarele mnemonice sunt disponibile pentru --set-xmark:

       --and-mark bi<?>i
              AND logic al ctmark-ului cu bi<?>i. Mnemonic pentru --set-xmark
              0/invbi<?>i, unde invbi<?>i este nega<?>ia binara a lui bi<?>i.

       --or-mark bi<?>i
              OR logic al ctmark-ului cu bits. Mnemonic pentru --set-xmark
              bits/bits.

       --xor-mark bi<?>i
              XOR logic al ctmark-ului cu bits. Mnemonic pentru --set-xmark
              bits/0.

       --set-mark valoare[/masca]
              Define<?>te marcajul conexiunii. Daca este specificata o masca,
              atunci sunt modifica<?>i numai bi<?>ii defini<?>i in masca.

       --save-mark [--mask masca]
              Copiaza nfmark in ctmark. Daca este specificata o masca, sunt
              copia<?>i numai acei bi<?>i.

       --restore-mark [--mask masca]
              Copiaza marca ct in marca nf. Daca este specificata o masca, se
              copiaza numai acei bi<?>i. Acest lucru este valabil numai in
              tabelul mangle.

   CONNSECMARK
       Acest modul copiaza marcajele de securitate de la pachete la conexiuni
       (daca nu sunt etichetate) <?>i de la conexiuni inapoi la pachete (tot
       numai daca nu sunt etichetate). Utilizat de obicei impreuna cu SECMARK,
       este valabil in tabelul security (pentru compatibilitate cu nucleele
       mai vechi, este valabil <?>i in tabelul mangle).

       --save Daca pachetul are un marcaj de securitate, il copiaza in
              conexiune daca conexiunea nu este marcata.

       --restore
              Daca pachetul nu are un marcaj de securitate, iar conexiunea
              are, copiaza marcajul de securitate de la conexiune la pachet.


   CT
       <?>inta CT stabile<?>te parametrii pentru un pachet sau pentru
       conexiunea asociata acestuia. <?>inta ata<?>eaza pachetului o intrare
       ,,<?>ablon" de urmarire a conexiunii, care este apoi utilizata de
       nucleul conntrack la ini<?>ializarea unei noi intrari ct. Prin urmare,
       aceasta <?>inta este valabila numai in tabelul ,,brut".

       --notrack
              Dezactiveaza urmarirea conexiunii pentru acest pachet.

       --helper nume
              Utilizeaza auxiliarul identificat prin nume pentru conexiune.
              Acest lucru este mai flexibil decat incarcarea modulelor
              ,,helper conntrack" cu porturi prestabilite.

       --ctevents eveniment[,...]
              Genereaza numai evenimentele conntrack specificate pentru
              aceasta conexiune. Tipurile de evenimente posibile sunt: new,
              related, destroy, reply, assured, protoinfo, helper, mark (se
              refera la ctmark, nu la nfmark), natseqinfo, secmark
              (ctsecmark).

       --expevents eveniment[,...]
              Genereaza numai evenimentele de a<?>teptare specificate pentru
              aceasta conexiune. Tipurile de evenimente posibile sunt: new.

       --zone-orig {id|mark}
              Pentru traficul provenit din direc<?>ia ORIGINAL, se atribuie
              acest pachet zonei id <?>i se efectueaza cautari numai in acea
              zona. Daca se utilizeaza mark in loc de id, zona este derivata
              din pachetul nfmark.

       --zone-reply {id|mark}
              Pentru traficul provenit din direc<?>ia REPLY, se atribuie acest
              pachet zonei id <?>i se efectueaza cautari numai in acea zona.
              Daca se utilizeaza mark in loc de id, zona este derivata din
              pachetul nfmark.

       --zone {id|mark}
              Atribuie acest pachet zonei id <?>i efectueaza cautari numai in
              acea zona. Daca se utilizeaza mark in loc de id, zona este
              derivata din pachetul nfmark. In mod implicit, pachetele au zona
              0. Aceasta op<?>iune se aplica in ambele direc<?>ii.

       --timeout nume
              Utilizeaza politica de timp de a<?>teptare identificata de nume
              pentru conexiune. Aceasta ofera o defini<?>ie mai flexibila a
              politicii de timp de a<?>teptare decat valorile globale de timp
              de a<?>teptare disponibile la
              /proc/sys/net/netfilter/nf_conntrack_*_timeout_*.

   DNAT
       Aceasta <?>inta este valabila numai in tabelul nat, in lan<?>urile
       PREROUTING <?>i OUTPUT <?>i in lan<?>urile definite de utilizator care
       sunt apelate numai din aceste lan<?>uri. Aceasta specifica faptul ca
       adresa de destina<?>ie a pachetului trebuie modificata (<?>i toate
       pachetele viitoare din aceasta conexiune vor fi, de asemenea,
       modificate), iar regulile trebuie sa inceteze sa mai fie examinate.
       Accepta urmatoarele op<?>iuni:

       --to-destination [adresa-ip[-adresa-ip]][:port[-port[/port-baza]]]
              care poate specifica o singura adresa IP de destina<?>ie noua,
              un interval inclusiv de adrese IP. Op<?>ional, un interval de
              porturi, daca regula specifica <?>i unul dintre urmatoarele
              protocoale: tcp, udp, dccp sau sctp. Daca nu este specificat
              niciun interval de porturi, atunci portul de destina<?>ie nu va
              fi niciodata modificat. Daca nu este specificata nicio adresa
              IP, atunci numai portul de destina<?>ie va fi modificat. Daca se
              indica port-baza, diferen<?>a dintre portul de destina<?>ie
              ini<?>ial <?>i valoarea acestuia este utilizata ca decalaj in
              intervalul de porturi de alocare. Acest lucru permite crearea de
              intervale de portmap deplasate <?>i este disponibil incepand cu
              versiunea 4.18 a nucleului. Pentru un singur port sau port-baza,
              se poate utiliza un nume de serviciu a<?>a cum este listat in
              /etc/services.

       --random
              Alocarea aleatorie a porturilor sursa (nucleu >= 2.6.22).

       --persistent
              Ofera unui client aceea<?>i adresa sursa/destina<?>ie pentru
              fiecare conexiune. Aceasta inlocuie<?>te <?>inta SAME. Suportul
              pentru coresponden<?>e persistente este disponibil de la
              versiunea 2.6.29-rc2.

       Suport IPv6 disponibil de la nucleele Linux >= 3.7.

   DNPT (specific IPv6)
       Asigura traducerea prefixelor de re<?>ea IPv6 la IPv6 de destina<?>ie
       fara pastrarea starii ,,stateless" (conform descrierii RFC 6296).

       Trebuie sa utiliza<?>i aceasta <?>inta in tabelul mangle, nu in tabelul
       nat. Are urmatoarele op<?>iuni:

       --src-pfx [prefix/lungime]
              Define<?>te prefixul sursa pe care dori<?>i sa il traduce<?>i
              <?>i lungimea

       --dst-pfx [prefix/lungime]
              Define<?>te prefixul destina<?>ie pe care dori<?>i sa il
              traduce<?>i <?>i lungimea

       Trebuie sa utiliza<?>i <?>inta SNPT pentru a anula traducerea. Exemplu:

              ip6tables -t mangle -I POSTROUTING -s fd00::/64  -o vboxnet0 -j
              SNPT --src-pfx fd00::/64 --dst-pfx 2001:e20:2000:40f::/64

              ip6tables -t mangle -I PREROUTING -i wlan0 -d
              2001:e20:2000:40f::/64 -j DNPT --src-pfx 2001:e20:2000:40f::/64
              --dst-pfx fd00::/64

       Este posibil sa fie necesar sa activa<?>i un server proxy IPv6
       invecinat:

              sysctl -w net.ipv6.conf.all.proxy_ndp=1

       De asemenea, trebuie sa utiliza<?>i <?>inta NOTRACK pentru a dezactiva
       urmarirea conexiunilor pentru fluxurile traduse.

   DSCP
       Aceasta <?>inta modifica valoarea bi<?>ilor DSCP din antetul TOS al
       pachetului IPv4. Deoarece aceasta <?>inta manipuleaza un pachet, ea
       poate fi utilizata numai in tabelul ,,mangle".

       --set-dscp valoare
              Define<?>te campul DSCP la o valoare numerica (poate fi zecimala
              sau hexazecimala)

       --set-dscp-class clasa
              Define<?>te campul DSCP la o clasa DiffServ.

   ECN (specific IPv4)
       Aceasta <?>inta func<?>ioneaza selectiv in jurul gaurilor negre ECN
       cunoscute. Aceasta poate fi utilizata numai in tabelul ,,mangle".

       --ecn-tcp-remove
              Elimina to<?>i bi<?>ii ECN din antetul TCP. Desigur, aceasta
              poate fi utilizata numai impreuna cu -p tcp.

   HL (specific IPv6)
       Aceasta este utilizata pentru a modifica campul Hop Limit din antetul
       IPv6. Campul Hop Limit este similar cu ceea ce este cunoscut sub numele
       de valoare TTL in IPv4.  Stabilirea sau incrementarea campului Hop
       Limit poate fi foarte periculoasa, astfel incat ar trebui evitata cu
       orice pre<?>. Aceasta <?>inta este valabila numai in tabelul mangle.

       Nu stabili<?>i sau nu incrementa<?>i niciodata valoarea pe pachetele
       care parasesc re<?>eaua locala!

       --hl-set valoare
              Stabile<?>te limita de salt (Hop Limit) la ,,valoare".

       --hl-dec valoare
              Reduce limita de salt de ,,valoare" de ori.

       --hl-inc valoare
              Incrementeaza limita de salt de ,,valoare" de ori.

   HMARK
       La fel ca MARK, adica stabile<?>te fwmark, dar marca este calculata din
       selectorul de pachete hashing la alegere. De asemenea, trebuie sa
       specifica<?>i intervalul de marcare <?>i, op<?>ional, decalajul de la
       care sa se inceapa. Mesajele de eroare ICMP sunt inspectate <?>i
       utilizate pentru a calcula hashing-ul.

       Existing options are:

       --hmark-tuple tuple
              Membrii tuplelor posibile sunt: src inseamna adresa sursa
              (adresa IPv4, IPv6), dst inseamna adresa destina<?>ie (adresa
              IPv4, IPv6), sport inseamna portul sursa (TCP, UDP, UDPlite,
              SCTP, DCCP), dport inseamna portul destina<?>ie (TCP, UDP,
              UDPlite, SCTP, DCCP), spi inseamna indicele parametrului de
              securitate (AH, ESP) <?>i ct inseamna utilizarea tuple-ului
              conntrack in locul selectorilor de pachete.

       --hmark-mod valoare (trebuie sa fie > 0)
              Modul pentru calculul hash (pentru a limita gama de marcaje
              posibile)

       --hmark-offset valoare
              Decalaj de la care sa se inceapa marcajele.

       Pentru utilizare avansata, in loc sa utiliza<?>i ,,--hmark-tuple",
       pute<?>i specifica personalizat
              prefixe <?>i ma<?>ti:

       --hmark-src-prefix cidr
              Masca adresei sursa in nota<?>ie CIDR.

       --hmark-dst-prefix cidr
              Masca adresei de destina<?>ie in nota<?>ie CIDR.

       --hmark-sport-mask valoare
              O masca a portului sursa de 16 bi<?>i in hexazecimal.

       --hmark-dport-mask valoare
              O masca a portului de destina<?>ie de 16 bi<?>i in hexazecimal.

       --hmark-spi-mask valoare
              Un camp de 32 de bi<?>i cu masca spi.

       --hmark-proto-mask valoare
              Un camp de 8 bi<?>i cu numarul protocolului de nivel(strat) 4.

       --hmark-rnd valoare
              O valoare personalizata aleatorie de 32 de bi<?>i pentru a
              alimenta calculul hash.

       Exemple:

       iptables -t mangle -A PREROUTING -m conntrack --ctstate NEW
        -j HMARK --hmark-tuple ct,src,dst,proto --hmark-offset 10000
       --hmark-mod 10 --hmark-rnd 0xfeedcafe

       iptables -t mangle -A PREROUTING -j HMARK --hmark-offset 10000
       --hmark-tuple src,dst,proto --hmark-mod 10 --hmark-rnd 0xdeafbeef

   IDLETIMER
       Aceasta <?>inta poate fi utilizata pentru a identifica momentul in care
       interfe<?>ele au fost inactive pentru o anumita perioada de timp.
       Temporizatoarele sunt identificate prin etichete <?>i sunt create
       atunci cand o regula este definita cu o eticheta noua. Regulile preiau,
       de asemenea, o valoare de temporizare (in secunde) ca op<?>iune. Daca
       mai multe reguli utilizeaza aceea<?>i eticheta de temporizator,
       temporizatorul va fi repornit ori de cate ori oricare dintre reguli
       prime<?>te un rezultat pozitiv. O intrare pentru fiecare cronometru
       este creata in sysfs. Acest atribut con<?>ine timpul ramas pana la
       expirarea temporizatorului.  Atributele sunt localizate sub clasa
       xt_idletimer:

       /sys/class/xt_idletimer/timers/<label>

       Cand cronometrul expira, modulul <?>inta trimite o notificare sysfs
       catre spa<?>iul utilizatorului, care poate decide apoi ce sa faca (de
       exemplu, deconectarea pentru a economisi energie).

       --timeout timp
              Acesta este timpul in secunde care va declan<?>a notificarea.

       --label <?>ir
              Acesta este un identificator unic pentru temporizator.  Lungimea
              maxima pentru <?>irul de etichete este de 27 de caractere.

   LED
       Acest lucru creeaza un declan<?>ator LED care poate fi ata<?>at apoi la
       indicatoarele luminoase ale sistemului, pentru a clipi sau a le aprinde
       atunci cand anumite pachete trec prin sistem. Un exemplu ar putea fi
       aprinderea unui LED timp de cateva minute de fiecare data cand se
       realizeaza o conexiune SSH la ma<?>ina locala. Urmatoarele op<?>iuni
       controleaza comportamentul declan<?>atorului:

       --led-trigger-id nume
              Acesta este numele dat declan<?>atorului LED. Numele real al
              declan<?>atorului va fi prefixat cu ,,netfilter-".

       --led-delay ms
              Aceasta indica cat timp (in milisecunde) ar trebui lasat LED-ul
              aprins atunci cand sose<?>te un pachet inainte de a fi stins din
              nou. Valoarea implicita este 0 (clipe<?>te cat mai repede
              posibil.) Valoarea speciala inf poate fi data pentru a lasa
              LED-ul aprins permanent odata activat; (in acest caz,
              declan<?>atorul va trebui sa fie manual deta<?>at <?>i
              reata<?>at de dispozitivul LED pentru a-l opri din nou).

       --led-always-blink
              Face ca intotdeauna LED-ul sa clipeasca la sosirea pachetului,
              chiar daca LED-ul este deja aprins. Acest lucru permite
              notificarea pachetelor noi chiar <?>i cu valori de intarziere
              mari (care altfel ar duce la o prelungire silen<?>ioasa a
              timpului de intarziere).

       Exemplu:

       Crea<?>i un declan<?>ator LED pentru traficul SSH de intrare:
              iptables -A INPUT -p tcp --dport 22 -j LED --led-trigger-id ssh

       Apoi ata<?>a<?>i noul declan<?>ator la un LED:
              echo netfilter-ssh >/sys/class/leds/ledname/trigger

   LOG
       Activeaza inregistrarea in nucleu a pachetelor corespunzatoare. Atunci
       cand aceasta op<?>iune este definita pentru o regula, nucleul Linux va
       afi<?>a anumite informa<?>ii despre toate pachetele corespunzatoare
       (cum ar fi majoritatea campurilor antetului IP/IPv6) prin intermediul
       jurnalului nucleului (unde pot fi citite cu dmesg(1) sau citite in
       syslog).

       Aceasta este o ,,<?>inta non-terminanta", adica parcurgerea regulii
       continua la urmatoarea regula. Prin urmare, daca dori<?>i sa
       inregistra<?>i pachetele pe care le refuza<?>i, utiliza<?>i doua reguli
       separate cu acelea<?>i criterii de potrivire, folosind mai intai
       obiectivul LOG, apoi DROP (sau REJECT).

       --log-level nivel
              Nivelul de jurnalizare, care poate fi (specific sistemului)
              numeric sau mnemonic. Valorile posibile sunt (in ordinea
              descrescatoare a priorita<?>ii): emerg, alert, crit, error,
              warning, notice, info sau debug.

       --log-prefix prefix
              Prefixeaza mesajele din jurnal cu prefixul specificat; are o
              lungime de pana la 29 de litere <?>i este util pentru a distinge
              mesajele din jurnale.

       --log-tcp-sequence
              Inregisteaza numerele de secven<?>a TCP. Acesta este un risc de
              securitate daca jurnalul poate fi citit de utilizatori.

       --log-tcp-options
              Inregistreaza op<?>iunile din antetul pachetului TCP.

       --log-ip-options
              Inregistreaza op<?>iunile din antetul pachetului IP/IPv6.

       --log-uid
              Inregistreaza ID-ul de utilizator al procesului care a generat
              pachetul.

       --log-macdecode
              Inregistreaza adresele MAC <?>i protocolul.

   MARK
       Aceasta <?>inta este utilizata pentru a stabili valoarea marcajului
       Netfilter asociat pachetului. Aceasta poate fi utilizata, de exemplu,
       impreuna cu direc<?>ionarea bazata pe fwmark (necesita iproute2). Daca
       inten<?>iona<?>i sa face<?>i acest lucru, re<?>ine<?>i ca marca trebuie
       sa fie definita fie in lan<?>ul PREROUTING, fie in lan<?>ul OUTPUT al
       tabelului ,,mangle" pentru a afecta direc<?>ionarea. Campul marcii
       ,,mark" are o la<?>ime de 32 de bi<?>i.

       --set-xmark valoare[/masca]
              Reduce la zero bi<?>ii indica<?>i de masca <?>i XOR valoare in
              marcajul pachetului (,,nfmark"). Daca masca este omisa, se
              presupune 0xFFFFFFFF.

       --set-mark valoare[/masca]
              Reduce la zero bi<?>ii indica<?>i de masca <?>i face OR cu
              valoare in marcajul pachetului. Daca masca este omis, se
              presupune 0xFFFFFFFF.

       Sunt disponibile urmatoarele mnemonice:

       --and-mark bi<?>i
              Evalueaza AND logic al nfmark-ului cu bi<?>i; (mnemonic pentru
              --set-xmark 0/invbi<?>i, unde invbi<?>i este nega<?>ia binara a
              lui bi<?>i).

       --or-mark bi<?>i
              Evalueaza OR logic al nfmark-ului cu bi<?>i; (mnemonic pentru
              --set-xmark bi<?>i/bi<?>i.)

       --xor-mark bi<?>i
              Evalueaza XOR logic al nfmark-ului cu bi<?>i; (mnemonic pentru
              --set-xmark bi<?>i/0.)

   MASQUERADE
       Aceasta <?>inta este valabila numai in tabelul nat, in lan<?>ul
       POSTROUTING.  Aceasta trebuie utilizata numai in cazul conexiunilor IP
       alocate dinamic (dialup): daca ave<?>i o adresa IP statica, trebuie sa
       utiliza<?>i <?>inta SNAT.  Mascarea este echivalenta cu specificarea
       unei coresponden<?>e cu adresa IP a interfe<?>ei pe care pleaca
       pachetul, dar are, de asemenea, efectul ca conexiunile sunt uitate
       atunci cand interfa<?>a cade.  Acesta este comportamentul corect atunci
       cand este pu<?>in probabil ca urmatorul dialup sa aiba aceea<?>i adresa
       de interfa<?>a (<?>i, prin urmare, orice conexiune stabilita este
       oricum pierduta).

       --to-ports port[-port]
              Aceasta specifica un interval de porturi sursa care urmeaza sa
              fie utilizate, inlocuind euristica implicita de selectare a
              porturilor sursa SNAT (a se vedea mai sus).  Acest lucru este
              valabil numai daca regula specifica <?>i unul dintre urmatoarele
              protocoale: tcp, udp, dccp sau sctp.

       --random
              Face aleatorie cartografierea porturilor sursa (nucleu >=
              2.6.21). Incepand cu nucleul 5.0, --random este identica cu
              --random-fully.

       --random-fully
              Face complet aleatorie cartografierea porturilor sursa (nucleu
              >= 3.13).

       Suport IPv6 disponibil de la nucleele Linux >= 3.7.

   NETMAP
       Aceasta <?>inta va permite cartografierea statica a unei intregi
       re<?>ele de adrese pe o alta re<?>ea de adrese. Aceasta poate fi
       utilizata numai din regulile din tabelul nat.

       --to adresa[/masca]
              Adresa de re<?>ea la care se face cartografierea. Adresa
              rezultata va fi construita in felul urmator: To<?>i bi<?>ii
              ,,unu" din masca sunt introdu<?>i din noua ,,adresa". To<?>i
              bi<?>ii zero din masca sunt introdu<?>i din adresa originala.

       Suport IPv6 disponibil de la nucleele Linux >= 3.7.

   NFLOG
       Aceasta <?>inta asigura inregistrarea in jurnal a pachetelor
       corespunzatoare. Atunci cand aceasta <?>inta este definita pentru o
       regula, nucleul Linux va transmite pachetul catre sistemul de
       jurnalizare incarcat pentru a inregistra pachetul. Aceasta este de
       obicei utilizata in combina<?>ie cu nfnetlink_log ca sistem de
       jurnalizare, care va multidifuza pachetul printr-un soclu netlink catre
       grupul de multidifuzare specificat. Unul sau mai multe procese din
       spa<?>iul utilizatorilor se pot abona la grup pentru a primi pachetele.
       La fel ca LOG, acesta este un obiectiv non-terminant, adica parcurgerea
       regulii continua la urmatoarea regula.

       --nflog-group nlgroup
              Grupul netlink (0 - 2^16-1) catre care sunt direc<?>ionate
              pachetele (aplicabil numai pentru nfnetlink_log). Valoarea
              implicita este 0.

       --nflog-prefix prefix
              Un <?>ir de prefixe de inclus in mesajul jurnal, cu o lungime de
              pana la 64 de caractere, util pentru a distinge mesajele din
              jurnale.

       --nflog-range dimensiune
              Aceasta op<?>iune nu a func<?>ionat niciodata, folosi<?>i in
              schimb ,,--nflog-size"

       --nflog-size dimensiune
              Numarul de octe<?>i care urmeaza sa fie copia<?>i in spa<?>iul
              utilizatorului (aplicabil numai pentru nfnetlink_log).
              Instan<?>ele nfnetlink_log i<?>i pot specifica propriul
              interval, aceasta op<?>iune il inlocuie<?>te.

       --nflog-threshold dimensiune
              Numarul de pachete care trebuie puse la coada in interiorul
              nucleului inainte de a fi trimise catre spa<?>iul utilizatorilor
              (aplicabil numai pentru nfnetlink_log). Valorile mai mari au ca
              rezultat mai pu<?>ina incarcare per pachet, dar cresc
              intarzierea pana cand pachetele ajung in spa<?>iul
              utilizatorilor. Valoarea implicita este 1.

   NFQUEUE
       Aceasta <?>inta transmite pachetul catre spa<?>iul utilizatorilor
       utilizand gestionarul nfnetlink_queue. Pachetul este pus in coada
       identificata prin numarul sau de coada pe 16 bi<?>i.  Spa<?>iul
       utilizatorilor poate inspecta <?>i modifica pachetul, daca se
       dore<?>te. Spa<?>iul utilizatorilor trebuie apoi sa elimine sau sa
       reinjecteze pachetul in nucleu.  Va rugam sa consulta<?>i
       libnetfilter_queue pentru detalii.  nfnetlink_queue a fost adaugat in
       Linux 2.6.14. Op<?>iunea queue-balance a fost adaugata in Linux 2.6.31,
       queue-bypass in 2.6.39.

       --queue-num valoare
              Specifica numarul de coada care urmeaza sa fie utilizat.
              Numerele de coada valabile sunt de la 0 la 65535. Valoarea
              implicita este 0.

       --queue-balance valoare:valoare
              Aceasta specifica o serie de cozi de a<?>teptare care urmeaza sa
              fie utilizate. Pachetele sunt apoi echilibrate intre cozile
              date.  Acest lucru este util pentru sistemele multi-nucleu:
              porne<?>te mai multe instan<?>e ale programului din spa<?>iul
              utilizatorului pe cozile x, x+1, .. x+n <?>i utiliza<?>i
              ,,--queue-balance x:x+n".  Pachetele care apar<?>in aceleia<?>i
              conexiuni sunt plasate in aceea<?>i nfqueue.  Datorita
              detaliilor de implementare, o valoare inferioara a intervalului
              de 0 limiteaza valoarea superioara a intervalului la 65534,
              adica nu se poate echilibra decat intre cel mult 65535 de cozi.

       --queue-bypass
              In mod implicit, daca niciun program din spa<?>iul
              utilizatorului nu asculta un NFQUEUE, atunci toate pachetele
              care urmeaza sa fie puse in coada sunt abandonate. Atunci cand
              se utilizeaza aceasta op<?>iune, regula NFQUEUE se comporta in
              schimb ca ACCEPT, iar pachetul va trece la urmatorul tabel.

       --queue-cpu-fanout
              Disponibila incepand cu nucleul Linux 3.10. Atunci cand este
              utilizata impreuna cu --queue-balance, aceasta va utiliza ID-ul
              CPU ca index pentru alocarea pachetelor la cozi. Ideea este ca
              va pute<?>i imbunata<?>i performan<?>a daca exista o coada
              pentru fiecare CPU. Pentru aceasta este necesar ca
              --queue-balance sa fie specificata.

   NOTRACK
       Aceasta extensie dezactiveaza urmarirea conexiunilor pentru toate
       pachetele care corespund regulii respective. Este echivalenta cu ,,-j
       CT --notrack". Ca <?>i CT, NOTRACK poate fi utilizata numai in tabelul
       raw.

   RATEEST
       <?>inta RATEEST colecteaza statistici, efectueaza calculul de estimare
       a ratei <?>i salveaza rezultatele pentru o evaluare ulterioara
       utilizand coresponden<?>a rateest.

       --rateest-name nume
              Numara pachetele potrivite in grupul men<?>ionat de nume, care
              poate fi ales liber.

       --rateest-interval cantitatea-de-timp{s|ms|us}
              Intervalul de masurare a ratei, in secunde, milisecunde sau
              microsecunde.

       --rateest-ewmalog valoare
              Constanta de timp a mediei de masurare a ratei.

   REDIRECT
       Aceasta <?>inta este valabila numai in tabelul nat, in lan<?>urile
       PREROUTING <?>i OUTPUT <?>i in lan<?>urile definite de utilizator care
       sunt apelate numai din aceste lan<?>uri. Aceasta redirec<?>ioneaza
       pachetul catre ma<?>ina in sine prin schimbarea IP-ului de destina<?>ie
       cu adresa primara a interfe<?>ei de intrare (pachetele generate local
       sunt mapate la adresa localhost, 127.0.0.1 pentru IPv4 <?>i ::1 pentru
       IPv6, iar pachetele care sosesc pe interfe<?>e care nu au o adresa IP
       configurata sunt abandonate).

       --to-ports port[-port]
              Specifica un port de destina<?>ie sau un interval de porturi de
              utilizat: fara aceasta indica<?>ie, portul de destina<?>ie nu
              este modificat niciodata. Acest lucru este valabil numai daca
              regula specifica, de asemenea, unul dintre urmatoarele
              protocoale: tcp, udp, dccp sau sctp.  Pentru un singur port, se
              poate utiliza un nume de serviciu a<?>a cum este listat in
              /etc/services.

       --random
              Alocarea aleatorie a porturilor sursa (nucleu >= 2.6.22).

       Suport IPv6 disponibil incepand cu nucleele Linux >= 3.7.

   REJECT (specific IPv6)
       Aceasta este utilizata pentru a trimite inapoi un pachet de eroare ca
       raspuns la pachetul corespunzator: in caz contrar, este echivalenta cu
       DROP, deci este o <?>INTA terminala, care incheie parcurgerea
       regulilor. Aceasta <?>inta este valabila numai in lan<?>urile INPUT,
       FORWARD <?>i OUTPUT <?>i in lan<?>urile definite de utilizator care
       sunt apelate numai din aceste lan<?>uri. Urmatoarea op<?>iune
       controleaza natura pachetului de erori returnat:

       --reject-with tip
              Tipul dat poate fi icmp6-no-route, no-route,
              icmp6-adm-prohibited, adm-prohibited, icmp6-addr-unreachable,
              addr-unreach, sau icmp6-port-unreachable, care returneaza
              mesajul de eroare ICMPv6 corespunzator (icmp6-port-unreachable
              este implicit). In cele din urma, op<?>iunea tcp-reset poate fi
              utilizata pentru regulile care corespund doar protocolului TCP:
              aceasta determina trimiterea inapoi a unui pachet TCP RST.
              Aceasta op<?>iune este utila in principal pentru blocarea
              sondajelor ident (113/tcp) care apar frecvent la trimiterea de
              e-mail catre gazde de e-mail defecte (care altfel nu va vor
              accepta e-mailul).  tcp-reset poate fi utilizat numai cu
              versiunile de nucleu 2.6.14 sau mai recente.

       Avertisment: Nu trebuie sa aplica<?>i in mod nediscriminatoriu <?>inta
       REJECT pachetelor a caror stare de conexiune este clasificata ca
       INVALID; in schimb, trebuie sa le inlatura<?>i ,,DROP" numai pe
       acestea.

       Sa luam in considerare o gazda sursa care transmite un pachet P, P
       inregistrand o intarziere atat de mare de-a lungul traseului sau incat
       gazda sursa emite o retransmisie, P_2, P_2 reu<?>ind sa ajunga la
       destina<?>ie <?>i avansand in mod normal in starea conexiunii. Se poate
       concepe ca P care ajunge cu intarziere sa fie considerat ca nefiind
       asociat cu nicio intrare de urmarire a conexiunii. Generarea unui
       raspuns de respingere pentru un pachet astfel clasificat ar pune capat
       conexiunii ,,sanatoase".

       A<?>adar, in loc de:

       -A INPUT ... -j REJECT

       lua<?>i in considerare utilizarea:

       -A INPUT ... -m conntrack --ctstate INVALID -j DROP -A INPUT ... -j
       REJECT

   REJECT (specific IPv4)
       Aceasta este utilizata pentru a trimite inapoi un pachet de eroare ca
       raspuns la pachetul corespunzator: in caz contrar, este echivalenta cu
       DROP, deci este o <?>INTA terminala, care incheie parcurgerea
       regulilor. Aceasta <?>inta este valabila numai in lan<?>urile INPUT,
       FORWARD <?>i OUTPUT <?>i in lan<?>urile definite de utilizator care
       sunt apelate numai din aceste lan<?>uri. Urmatoarea op<?>iune
       controleaza natura pachetului de erori returnat:

       --reject-with tip
              Tipul dat poate fi icmp-net-unreachable, icmp-host-unreachable,
              icmp-port-unreachable, icmp-proto-unreachable,
              icmp-net-prohibited, icmp-host-prohibited, sau
              icmp-admin-prohibited (*), care returneaza mesajul de eroare
              ICMP corespunzator (icmp-port-unreachable este implicit).
              Op<?>iunea tcp-reset poate fi utilizata pentru regulile care
              corespund numai protocolului TCP: aceasta determina trimiterea
              inapoi a unui pachet TCP RST. Aceasta op<?>iune este utila in
              principal pentru blocarea sondajelor ident (113/tcp) care apar
              frecvent la trimiterea de e-mail catre gazde de e-mail defecte
              (care altfel nu va accepta e-mailul).

              (*) Utilizarea icmp-admin-prohibited cu nuclee care nu ofera
              suport pentru aceasta va duce la un simplu DROP in loc de REJECT

       Avertisment: Nu trebuie sa aplica<?>i in mod nediscriminatoriu <?>inta
       REJECT pachetelor a caror stare de conexiune este clasificata ca
       INVALID; in schimb, trebuie sa le inlatura<?>i ,,DROP" numai pe
       acestea.

       Sa luam in considerare o gazda sursa care transmite un pachet P, P
       inregistrand o intarziere atat de mare de-a lungul traseului sau incat
       gazda sursa emite o retransmisie, P_2, P_2 reu<?>ind sa ajunga la
       destina<?>ie <?>i avansand in mod normal in starea conexiunii. Se poate
       concepe ca P care ajunge cu intarziere sa fie considerat ca nefiind
       asociat cu nicio intrare de urmarire a conexiunii. Generarea unui
       raspuns de respingere pentru un pachet astfel clasificat ar pune capat
       conexiunii ,,sanatoase".

       A<?>adar, in loc de:

       -A INPUT ... -j REJECT

       lua<?>i in considerare utilizarea:

       -A INPUT ... -m conntrack --ctstate INVALID -j DROP -A INPUT ... -j
       REJECT

   SECMARK
       Se utilizeaza pentru a stabili valoarea marcajului de securitate
       asociat pachetului pentru a fi utilizat de subsistemele de securitate,
       cum ar fi SELinux.  Este valabila in tabelul security (pentru
       compatibilitatea cu nucleele mai vechi, este valabila <?>i in tabelul
       mangle). Marca are o la<?>ime de 32 de bi<?>i.

       --selctx context-securitate

   SET
       Acest modul adauga <?>i/sau <?>terge intrari din seturile IP care pot
       fi definite prin ipset(8).

       --add-set nume-set fanion[,fanion...]
              adauga adresa(adresele)/portul(porturile) pachetului la set

       --del-set nume-set fanion[,fanion...]
              <?>terge adresa(adresele)/portul(porturile) pachetului din set

       --map-set nume-set fanion[,fanion...]
              [--map-mark] [--map-prio] [--map-queue] proprieta<?>ile
              pachetului de harta (marca paravanului de protec<?>ie,
              prioritatea tc, coada hardware)

              unde fanioane sunt specifica<?>ii src <?>i/sau dst <?>i nu pot
              fi mai mult de <?>ase.

       --timeout valoare
              atunci cand se adauga o intrare, valoarea timpului de
              a<?>teptare care trebuie utilizata in locul celei implicite din
              defini<?>ia setului

       --exist
              atunci cand se adauga o intrare, valoarea timpului de
              a<?>teptare care trebuie utilizata in locul celei implicite din
              defini<?>ia setului

       --map-setnume-set
              nume-set trebuie creat cu op<?>iunea ,,--skbinfo", op<?>iunea
              --map-mark cartografiaza marcajul paravanului de protec<?>ie la
              pachet prin cautarea valorii in set, op<?>iunea --map-prio
              cartografiaza prioritatea controlului traficului la pachet prin
              cautarea valorii in set, op<?>iunea --map-queue cartografiaza
              coada hardware NIC la pachet prin cautarea valorii in set

              Op<?>iunea --map-set poate fi utilizata numai din tabelul
              mangle. Fanioanele --map-prio <?>i --map-queue pot fi utilizate
              in lan<?>urile OUTPUT, FORWARD <?>i POSTROUTING.

       Utilizarea op<?>iunii ,,-j SET" necesita existen<?>a suportului ipset
       oferit de nucleu, ceea ce, pentru nucleele standard, este cazul
       incepand cu Linux 2.6.39.

   SNAT
       Aceasta <?>inta este valabila numai in tabelul nat, in lan<?>urile
       POSTROUTING <?>i INPUT <?>i in lan<?>urile definite de utilizator care
       sunt apelate numai din aceste lan<?>uri. Aceasta specifica faptul ca
       adresa sursa a pachetului trebuie modificata (<?>i toate pachetele
       viitoare din aceasta conexiune vor fi, de asemenea, modificate), iar
       regulile trebuie sa inceteze sa mai fie examinate. Accepta urmatoarele
       op<?>iuni:

       --to-source [adresa-ip[-adresa-ip]][:port[-port]]
              care poate specifica o singura adresa IP sursa noua, un interval
              inclusiv de adrese IP. Op<?>ional, un interval de porturi, daca
              regula specifica <?>i unul dintre urmatoarele protocoale: tcp,
              udp, dccp sau sctp. Daca nu este specificat niciun interval de
              porturi, atunci porturile sursa sub 512 vor fi asociate cu alte
              porturi sub 512: cele intre 512 <?>i 1023 inclusiv vor fi
              asociate cu porturi sub 1024, iar alte porturi vor fi asociate
              cu porturi 1024 sau mai mari. Atunci cand este posibil, nu va
              avea loc nicio modificare a porturilor.

       --random
              Asociaza aleatoriu porturile sursa prin intermediul unui
              algoritm bazat pe hash (nucleu >= 2.6.21).

       --random-fully
              Asociaza complet aleatoriu porturile sursa prin intermediul unui
              PRNG (nucleu >= 3.14).

       --persistent
              Ofera unui client aceea<?>i adresa sursa/destina<?>ie pentru
              fiecare conexiune. Aceasta inlocuie<?>te <?>inta SAME. Suportul
              pentru coresponden<?>e persistente este disponibil de la
              versiunea 2.6.29-rc2.

       Nucleele anterioare versiunii 2.6.36-rc1 nu au capacitatea de a SNAT in
       lan<?>ul INPUT.

       Suport IPv6 disponibil de la nucleele Linux >= 3.7.

   SNPT (specific IPv6)
       Furnizeaza traducerea prefixelor de re<?>ea de la sursa IPv6 la IPv6
       fara stare (conform descrierii RFC 6296).

       Trebuie sa utiliza<?>i aceasta <?>inta in tabelul mangle, nu in tabelul
       nat. Are urmatoarele op<?>iuni:

       --src-pfx [prefix/lungime]
              Define<?>te prefixul sursa pe care dori<?>i sa il traduce<?>i
              <?>i lungimea

       --dst-pfx [prefix/lungime]
              Define<?>te prefixul destina<?>ie pe care dori<?>i sa il
              traduce<?>i <?>i lungimea

       Trebuie sa utiliza<?>i <?>inta DNPT pentru a anula traducerea. Exemplu:

              ip6tables -t mangle -I POSTROUTING -s fd00::/64  -o vboxnet0 -j
              SNPT --src-pfx fd00::/64 --dst-pfx 2001:e20:2000:40f::/64

              ip6tables -t mangle -I PREROUTING -i wlan0 -d
              2001:e20:2000:40f::/64 -j DNPT --src-pfx 2001:e20:2000:40f::/64
              --dst-pfx fd00::/64

       Este posibil sa fie necesar sa activa<?>i un server proxy IPv6
       invecinat:

              sysctl -w net.ipv6.conf.all.proxy_ndp=1

       De asemenea, trebuie sa utiliza<?>i <?>inta NOTRACK pentru a dezactiva
       urmarirea conexiunilor pentru fluxurile traduse.

   SYNPROXY
       Aceasta <?>inta va procesa negocierea TCP pe trei direc<?>ii (TCP
       three-way-handshake) in paralel in contextul netfilter pentru a proteja
       sistemul local sau sistemul serverului. Aceasta <?>inta necesita
       urmarirea conexiunii deoarece numerele de secven<?>a trebuie traduse.
       Capacitatea nucleelor de a absorbi SYNFLOOD a fost mult imbunata<?>ita
       incepand cu Linux 4.4, astfel incat aceasta <?>inta nu ar trebui sa mai
       fie necesara pentru a proteja serverele Linux.

       --mss dimensiunea-maxima-a-segmentului
              Dimensiunea maxima a segmentului anun<?>ata clien<?>ilor.
              Aceasta trebuie sa corespunda cu interfa<?>a interna.

       --wscale scala-ferestrei
              Scala ferestrei anun<?>ata clien<?>ilor. Aceasta trebuie sa
              corespunda cu interfa<?>a interna.

       --sack-perm
              Transmite op<?>iunea de confirmare selectiva a clientului catre
              interfa<?>a interna (va fi dezactivata daca nu este prezenta).

       --timestamps
              Transmite op<?>iunea de marca temporala ,,timestamp" a
              clientului catre interfa<?>a interna (va fi dezactivata daca nu
              este prezenta, necesara <?>i pentru confirmarea selectiva <?>i
              scalarea ferestrei).

       Exemplu:

       Determina op<?>iunile tcp utilizate de interfa<?>a interna, de la un
       sistem extern

              tcpdump -pni eth0 -c 1 'tcp[tcpflags] == (tcp-syn|tcp-ack)'
                  port 80 &
              telnet 192.0.2.42 80
              18:57:24.693307 IP 192.0.2.42.80 > 192.0.2.43.48757:
                  Flags [S.], seq 360414582, ack 788841994, win 14480,
                  options [mss 1460,sackOK,
                  TS val 1409056151 ecr 9690221,
                  nop,wscale 9],
                  length 0

       Dezactiveaza modul tcp_loose, astfel incat conntrack sa marcheze
       pachetele in afara fluxului ca fiind in starea INVALID.

              echo 0 > /proc/sys/net/netfilter/nf_conntrack_tcp_loose

       Face pachetele SYN sa nu fie urmarite

              iptables -t raw -A PREROUTING -i eth0 -p tcp --dport 80
                  --syn -j CT --notrack

       Capteaza starile UNTRACKED (pachete SYN) <?>i INVALID (pachete 3WHS
       ACK) <?>i le trimite la SYNPROXY. Aceasta regula va raspunde la
       pachetele SYN cu syncookies SYN+ACK, va crea ESTABLISHED pentru
       raspunsul valid al clientului (pachete 3WHS ACK) <?>i va elimina
       cookie-urile incorecte. Combina<?>iile de fanioane care nu sunt
       a<?>teptate in timpul 3WHS nu se vor potrivi <?>i vor continua (de
       exemplu SYN+FIN, SYN+ACK).

              iptables -A INPUT -i eth0 -p tcp --dport 80
                  -m state --state UNTRACKED,INVALID -j SYNPROXY
                  --sack-perm --timestamp --mss 1460 --wscale 9

       Inlatura pachetele nevalide, acestea vor fi pachete in afara fluxului
       care nu au fost potrivite de SYNPROXY.

              iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state
              INVALID -j DROP

   TCPMSS
       Aceasta <?>inta modifica valoarea MSS a pachetelor TCP SYN, pentru a
       controla dimensiunea maxima a conexiunii respective (limitand-o de
       obicei la MTU-ul interfe<?>ei de ie<?>ire minus 40 pentru IPv4 sau 60
       pentru IPv6, respectiv).  Desigur, aceasta poate fi utilizata numai in
       combina<?>ie cu -p tcp.

       Aceasta <?>inta este utilizata pentru a depa<?>i ISP-urile sau
       serverele criminale care blocheaza pachetele ,,ICMP Fragmentation
       Needed" sau ,,ICMPv6 Packet Too Big".  Simptomele acestei probleme sunt
       ca totul func<?>ioneaza bine din paravanul de protec<?>ie/router-ul
       Linux, dar ma<?>inile din spatele acestuia nu pot schimba niciodata
       pachete mari:

       1.  Navigatoarele web se conecteaza, apoi se blocheaza fara a primi
           date.

       2.  E-mailurile mici func<?>ioneaza bine, dar e-mailurile mari se
           blocheaza.

       3.  ssh func<?>ioneaza bine, dar scp se blocheaza dupa negocierea
           ini<?>iala.

       Solu<?>ie: activa<?>i aceasta op<?>iune <?>i adauga<?>i o regula la
       configura<?>ia paravanului de protec<?>ie, cum ar fi:

               iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN
                           -j TCPMSS --clamp-mss-to-pmtu

       --set-mss valoare
              Stabile<?>te explicit op<?>iunea MSS la valoarea specificata.
              Daca MSS al pachetului este deja mai mic decat valoarea, aceasta
              nu va fi marita (incepand cu Linux 2.6.25) pentru a evita mai
              multe probleme cu gazdele care se bazeaza pe un MSS adecvat.

       --clamp-mss-to-pmtu
              Fixeaza automat valoarea MSS la (path_MTU - 40 pentru IPv4; -60
              pentru IPv6). Este posibil ca aceasta op<?>iune sa nu
              func<?>ioneze a<?>a cum se dore<?>te in cazul in care exista
              rute asimetrice cu MTU de rute diferite - nucleul utilizeaza MTU
              de rute pe care l-ar utiliza pentru a trimite pachete de la sine
              la adresele IP sursa <?>i destina<?>ie. Inainte de Linux 2.6.25,
              aceasta op<?>iune lua in considerare numai MTU-ul rutei catre
              adresa IP de destina<?>ie; nucleele ulterioare iau in
              considerare <?>i MTU-ul rutei catre adresa IP sursa.

       Aceste op<?>iuni se exclud reciproc.

   TCPOPTSTRIP
       Aceasta <?>inta va elimina op<?>iunile TCP dintr-un pachet TCP; (de
       fapt, le va inlocui cu NO-OPs). Ca atare, va trebui sa adauga<?>i
       parametrii -p tcp.

       --strip-options op<?>iune[,op<?>iune...]
              Elimina op<?>iunea (op<?>iunile) data (date). Op<?>iunile pot fi
              specificate prin numarul op<?>iunii TCP sau prin nume simbolic.
              Lista op<?>iunilor recunoscute poate fi ob<?>inuta apeland
              iptables cu -j TCPOPTSTRIP -h.

   TEE
       <?>inta TEE va clona un pachet <?>i va redirec<?>iona aceasta clona
       catre o alta ma<?>ina de pe segmentul de re<?>ea local. Cu alte
       cuvinte, nexthop-ul (saltul urmator) trebuie sa fie <?>inta, sau va
       trebui sa configura<?>i nexthop-ul pentru a-l redirec<?>iona mai
       departe, daca dori<?>i.

       --gateway adresa-ip
              Trimite pachetul clonat catre gazda care poate fi atinsa la
              adresa IP data. Utilizarea 0.0.0.0 (pentru pachetele IPv4) sau
              :: (IPv6) nu este valabila.

       Pentru a redirec<?>iona tot traficul de intrare de pe eth0 catre un
       sistem de jurnalizare la nivel de re<?>ea:

       -t mangle -A PREROUTING -i eth0 -j TEE --gateway 2001:db8::1

   TOS
       Acest modul stabile<?>te campul Type of Service (tipul de serviciu) din
       antetul IPv4 (inclusiv bi<?>ii ,,precedence") sau campul Priority din
       antetul IPv6. Re<?>ine<?>i ca TOS imparte aceia<?>i bi<?>i ca DSCP <?>i
       ECN. <?>inta TOS este valabila numai in tabelul mangle.

       --set-tos valoare[/masca]
              Reduce la zero bi<?>ii indica<?>i de masca (a se vedea NOTA de
              mai jos) <?>i EVALUEAZA CU XOR LOGIC valoarea in campul
              TOS/Priority. Daca masCA este omisa, se presupune 0xFF.

       --set-tos simbol
              Pute<?>i specifica un nume simbolic atunci cand utiliza<?>i
              <?>inta TOS pentru IPv4. Aceasta implica o masca de 0xFF (a se
              vedea NOTA de mai jos). Lista de nume TOS recunoscute poate fi
              ob<?>inuta apeland iptables cu -j TOS -h.

       Sunt disponibile urmatoarele mnemonice:

       --and-tos bi<?>i
              Evalueaza AND logic al valorii TOS cu bi<?>i; (mnemonic pentru
              --set-tos 0/invbi<?>i, unde invbi<?>i este nega<?>ia binara a
              lui bi<?>i. A se vedea NOTA de mai jos).

       --or-tos bi<?>i
              Evalueaza OR logic al valorii TOS cu bi<?>i; (mnemonic pentru
              --set-tos bi<?>i/bi<?>i. A se vedea NOTA de mai jos).

       --xor-tos bi<?>i
              Evalueaza XOR logic al valorii TOS cu bi<?>i; (mnemonic pentru
              --set-tos bi<?>i/0. A se vedea NOTA de mai jos).

       NOTA: In nucleele Linux pana la <?>i inclusiv 2.6.38, cu excep<?>ia
       versiunilor pe termen lung 2.6.32 (>=.42), 2.6.33 (>=.15) <?>i 2.6.35
       (>=.14), exista o eroare prin care manipularea TOS IPv6 nu se comporta
       conform documenta<?>iei <?>i difera de versiunea IPv4. Masca TOS indica
       bi<?>ii care trebuie elimina<?>i, deci trebuie inversata inainte de a
       fi aplicata campului TOS original. Cu toate acestea, nucleele
       men<?>ionate anterior renun<?>a la inversare, ceea ce rupe ,,--set-tos"
       <?>i mnemonicele sale.

   TPROXY
       Aceasta <?>inta este valabila numai in tabelul mangle, in lan<?>ul
       PREROUTING <?>i in lan<?>urile definite de utilizator care sunt apelate
       numai din acest lan<?>. Aceasta redirec<?>ioneaza pachetul catre un
       soclu local fara a modifica in niciun fel antetul pachetului. De
       asemenea, poate modifica valoarea marcii care poate fi apoi utilizata
       in reguli avansate de direc<?>ionare. Accepta trei op<?>iuni:

       --on-port port
              Specifica un port de destina<?>ie care urmeaza sa fie utilizat.
              Este o op<?>iune obligatorie, 0 inseamna ca noul port de
              destina<?>ie este acela<?>i cu cel original. Aceasta este
              valabila numai daca regula specifica <?>i -p tcp sau -p udp.

       --on-ip adresa
              Aceasta specifica o adresa de destina<?>ie de utilizat. In mod
              implicit, adresa este adresa IP a interfe<?>ei de intrare.
              Aceasta este valabila numai daca regula specifica <?>i -p tcp
              sau -p udp.

       --tproxy-mark valoare[/masca]
              Marcheaza pachetele cu valoarea/masca data. Valoarea fwmark
              definita aici poate fi utilizata de direc<?>ionarea avansata;
              (necesar pentru ca proxy-ul transparent sa func<?>ioneze: in caz
              contrar, aceste pachete vor fi redirec<?>ionate, ceea ce
              probabil nu este ceea ce dori<?>i).

   TRACE
       Aceasta <?>inta marcheaza pachetele astfel incat nucleul va inregistra
       fiecare regula care se potrive<?>te pachetelor pe masura ce acestea
       parcurg tabelele, lan<?>urile, regulile. Aceasta poate fi utilizata
       numai in tabelul raw.

       Cu iptables-legacy, trebuie incarcat un sistem de jurnalizare, cum ar
       fi ip(6)t_LOG sau nfnetlink_log, pentru ca acest lucru sa fie vizibil.
       Pachetele sunt inregistrate cu prefixul: ,,TRACE:
       tablename:chainname:type:rulenum" unde tipul poate fi <<rule>> pentru
       regula simpla, <<return>> pentru regula implicita de la sfar<?>itul
       unui lan<?> definit de utilizator <?>i <<policy>> pentru politica
       lan<?>urilor integrate.

       Cu iptables-nft, <?>inta este tradusa in expresia meta nftrace a
       nftables. Prin urmare, nucleul trimite evenimente de urmarire prin
       netlink catre spa<?>iul utilizatorului, unde acestea pot fi afi<?>ate
       cu ajutorul comenzii xtables-monitor --trace. Pentru detalii,
       consulta<?>i xtables-monitor(8).

   TTL (specific IPv4)
       Aceasta este utilizata pentru a modifica campul TTL al antetului IPv4.
       Campul TTL determina cate salturi (routere) poate traversa un pachet
       pana cand timpul sau de via<?>a este depa<?>it.

       Stabilirea sau incrementarea campului TTL poate fi foarte periculoasa,
       astfel incat ar trebui evitata cu orice pre<?>. Aceasta <?>inta este
       valabila numai in tabelul mangle.

       Nu stabili<?>i sau nu incrementa<?>i niciodata valoarea pe pachetele
       care parasesc re<?>eaua locala!

       --ttl-set valoare
              Stabile<?>te valoarea TTL la ,,valoare".

       --ttl-dec valoare
              Reduce valoarea TTL de ,,valoare" ori.

       --ttl-inc valoare
              Cre<?>te valoarea TTL de ,,valoare" ori.

   ULOG (specific IPv4)
       Acesta este predecesorul depreciat ipv4-only al <?>intei NFLOG. Acesta
       asigura inregistrarea in spa<?>iul utilizatorului a pachetelor
       corespunzatoare. Atunci cand aceasta <?>inta este definita pentru o
       regula, nucleul Linux va multidifuza acest pachet prin intermediul unui
       soclu netlink. Unul sau mai multe procese din spa<?>iul utilizatorilor
       se pot abona apoi la diverse grupuri de multidifuzare <?>i pot primi
       pachetele. Ca <?>i LOG, aceasta este o ,,<?>inta non-terminanta", adica
       parcurgerea regulii continua la urmatoarea regula.

       --ulog-nlgroup nlgroup
              Specifica grupul netlink (1-32) catre care este trimis pachetul.
              Valoarea implicita este 1.

       --ulog-prefix prefix
              Prefixeaza mesajele din jurnal cu prefixul specificat; are o
              lungime de pana la 32 de caractere <?>i este util pentru a
              distinge mesajele din jurnale.

       --ulog-cprange dimensiune
              Numarul de octe<?>i care urmeaza sa fie copia<?>i in spa<?>iul
              utilizatorului. O valoare de 0 copiaza intotdeauna intregul
              pachet, indiferent de dimensiunea acestuia. Valoarea implicita
              este 0.

       --ulog-qthreshold dimensiune
              Numarul de pachete de pus in coada in interiorul nucleului.
              Stabilirea acestei valori la, de exemplu, 10 acumuleaza zece
              pachete in interiorul nucleului <?>i le transmite ca un mesaj
              multiparte netlink catre spa<?>iul utilizatorilor. Valoarea
              implicita este 1 (pentru compatibilitate retroactiva).

TRADUCERE
       Traducerea in limba romana a acestui manual a fost facuta de Remus-
       Gabriel Chelu <remusgabriel.chelu@disroot.org>

       Aceasta traducere este documenta<?>ie gratuita; citi<?>i Licen<?>a
       publica generala GNU Versiunea 3
       <https://www.gnu.org/licenses/gpl-3.0.html> sau o versiune ulterioara
       cu privire la condi<?>ii privind drepturile de autor.  NU se asuma
       NICIO RESPONSABILITATE.

       Daca gasi<?>i erori in traducerea acestui manual, va rugam sa
       trimite<?>i un e-mail la <translation-team-ro@lists.sourceforge.net>.

iptables 1.8.10                                         iptables-extensions(8)