Início / server / Perguntas / 1021118
Accepted
acgbox
Asked: 2020-06-12 14:27:36 +0800 CST

solução alternativa para regra multiporta de limite de iptables

  • 772

Tenho muitas portas para bloquear, mas a regra multiporta do iptables tem uma restrição e só permite no máximo 15 portas.

severalports="1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16"
iptables -A INPUT -p tcp -m multiport --dports $severalports -J DROP
iptables v1.4.21: too many ports specified

Gostaria de saber se existe alguma maneira de criar uma regra personalizada para contornar o limite máximo de 15 portas (para não precisar dividir a regra). obrigado

PD: Ports 1:16 é apenas para explicar a ideia. As portas reais não estão em sequência

iptables ubuntu-20.04

1 respostas

  1. Best Answer

    O implícito -m tcp, -m udp(e sctp etc.) todos aceitam parâmetros de intervalo de porta. Portanto, seu exemplo atual pode ser simplificado em simplesmente:

    iptables -A INPUT -p tcp -m tcp --dport 1:16 -j DROP # -m tcp is implicitly loaded if omitted anyway

    É o mesmo, -m multiportexceto que um intervalo come dois slots:

    multiport

    Este módulo corresponde a um conjunto de portas de origem ou destino. Até 15 portas podem ser especificadas. Um intervalo de portas (port:port) conta como duas portas.

    Portanto, se houver até 7 intervalos (+1 porta única), você pode fazer algo como:

    iptables -A INPUT -p tcp -m multiport --dport 1:5,10:50,6666 -j DROP

    Se você planeja um número alto arbitrário de portas sem adicionar um número alto de regras, pode alternar para o uso de ipset (que também requer o uso da ipsetferramenta) e uma setcorrespondência:

    ipset create portlist bitmap:port range 0-65535 #or narrower if known in advance
for i in $(seq 1 1000); do ipset add portlist $i; done

    EDIT: na verdade, o caso específico acima (todos os valores em um único intervalo) também pode ser simplificado usando uma sintaxe de intervalo no ipset (o suporte pode depender da versão) em vez do loop, se necessário. Não alterará o resultado definido:

    ipset add portlist 1-1000

    Regra única do iptables :

    iptables -A INPUT -p tcp -m set --match-set portlist dst -j DROP

    Um bitmap deve ter pesquisa O(1): tempo constante (e o que importa: muito rápido).

    ipset pode ser alterado dinamicamente durante o uso:

    ipset del portlist 22

    mesmo do caminho do pacote, se realmente necessário.

    Ele oferece muitos outros tipos de lista (como hash:ip,port), a maioria deles com hash. Eles podem ser carregados com centenas de milhares de entradas e ainda manter uma busca rápida, além de ajudar a ter regras simples e genéricas.

    • 3

relate perguntas