iptables string match

[floschi]

Hello agin,

ich habe mich kürzlich in iptables eingearbeitet und einen patch eingespielt. Und zwar wollte ich gern den "String-Match" verwenden.

Nach zahlreichen Schwierigkeiten das gute C-Script zu kompilieren, ist er nun im Kernel drin (als Modul) und IPTables kann es verwenden.

ABER folgendes ist geschehen.

Ich habe eine Regel erstellt, die Pakete mit einem bestimmten String aus dem ICMP Protokoll von einem definierten Host droppen soll:

iptabels -I INPUT -p icmp -s 172.22.1.85 -m string --string "suselinux" -j DROP

(das ist jetzt nur ein Beispiel)

Sende ich von dem Host aus nun einen Ping, der genau diesen String enthält, schmiert der Rechner ab (die Firewall) und gibt nen Kernel-Panic aus.

"Unable to handle NULL Pointer" usw.

Und zwar ist das ipt_string Modul und die anderen zusätzlichen IPTables Module eingeladen und der Kernel PANIC tritt auf bei "ipt_do_table"

(so steht's im Call Trace vom Kernel PANIC).

ipt_do_table ist eine Funktion aus ip_tables.c

Nun weiß ich aber leider trotzdem nicht, wo der Fehler liegt, und wieso mir das Ding mit nem lauten Knall um die Ohren fliegt.

Also was kann da verkehrt sein, dass die Kiste plötzlich so gaar nix mehr sagt

Man könnte das natürlich als "Feature" abtun: Ping of Death :cool: Aber die Lösung gefällt mir nicht so ganz

Gruß,

Florian