如何模拟源 IP 以测试哪些 iptables 规则正在/未触发？

Question

我们有一个相当复杂的 iptables/ipchains 配置，它是由APF生成的。应该阻止到端口 80 的流量，但我们的 Apache 日志显示有人能够探测网页：

[Sun Feb 03 13:08:45 2013] [error] [client 50.57.125.169] File does not exist:     /var/www/w00tw00t.at.blackhats.romanian.anti-sec:)
[Sun Feb 03 13:08:45 2013] [error] [client 50.57.125.169] File does not exist: /var/www/phpMyAdmin
[Sun Feb 03 13:08:45 2013] [error] [client 50.57.125.169] File does not exist: /var/www/phpmyadmin

有没有办法在 iptables 中模拟源 IP 来调试为什么数据包50.57.125.169没有被阻止？该-C | --check选项似乎只报告是否存在明确匹配 IP 的规则，但我想做的是（伪代码）

myserver% iptables --test --source_ip=50.57.125.169 --dest_port=80
Rule #17 matches (ALLOW)    // i.e. this would be the rule that matches

有没有办法做到这一点？

[编辑] 一种部分解决方案是TRACE在 iptables上启用调试（参见https://serverfault.com/a/126078/67472）并使用hping3（感谢 Trent）可以欺骗源 IP。但是，当测试从不同的服务器运行时，结果不会显示出来，当从同一服务器运行时，它会通过 Loopback 界面。

Answer 1

可以直接用hping模拟流量的源IP地址，然后检查流量是否仍然通过吗？可能不是你想要的，但你可以做类似的事情

hping3 --syn --destport 80 --count 3 -a test.ip.address webserver.ip.address