主页 / server / 问题 / 683973
Accepted
Alexis Wilke
Asked: 2015-04-20 23:42:59 +0800 CST

iptables 中 RELATED 状态的使用是否正确？

  • 772

我已经看到很多人一起使用 ESTABLISHED和RELATED 标志来接受流量，一旦之前接受了连接（请参阅允许已建立的会话）。

假设我使用以下规则设置防火墙：

-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 80 -d x.x.x.x --syn -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp -s x.x.x.x --dport 22 -d x.x.x.x --syn -j ACCEPT
-A INPUT -i eth0 -p tcp -m state --state ESTABLISHED,RELATED -m tcp ! --syn -d x.x.x.x -j ACCEPT
-A INPUT -i all -p all -j REJECT

我希望任何新连接都会被最后一条规则阻止，除非它是端口 80 或端口 22。但是，对于端口 22，我将连接限制为一个输入 IP 地址（比如我的家庭办公室）。

然后我希望规则--state ESTABLISHED,RELATED只接受以前使用端口 80 或端口 22 的规则连接的流量。

但是，从我在防火墙计数器中看到的情况来看，感觉如果我同时拥有 ESTABLISHED和RELATED，那么 TCP 上的任何流量都可以发送到服务器......

在我的测试中，假设我在端口 8080 上有另一个 HTTP 服务器，我首先连接到明确允许的端口 80，然后，我可以以某种方式连接并发送 GET 并在端口 8080 上接收响应，即使它没有打开。

同样，如果我在端口 22 上连接，则当前打开并在 0.0.0.0 上侦听的任何其他 TCP 端口都可以访问。我担心的是，这意味着连接到端口 80 的人现在可以访问端口 22，因为 RELATED 允许它（假设端口 80 已打开，然后与端口 22 建立新连接）。

我对么？我正在考虑将规则改为：

-A INPUT -i eth0 -p tcp -m state --state ESTABLISHED -m tcp ! --syn -d x.x.x.x -j ACCEPT

（即没有 RELATED 状态，只有 ESTABLISHED）

我还认为! --syn会阻止使用该规则建立新连接，但这似乎也不正确......

linux

1 个回答

  1. Best Answer

    让我假设您的设置中有以下 3 件事：

    • 您在 ACCEPT 的 INPUT 表上有一个默认策略（它是默认值）。
    • 最后一条规则上的数据包/字节计数器-A INPUT -i all -p all -j REJECT为 0
    • 您没有名为“all”的界面

    AFAIK-i参数没有关键字 like all，因此它被视为接口名称。加载此规则时没有错误，因为在尚不存在或未启动的接口上创建规则是合法的。所以你的最后一条规则没有捕获任何东西，并且你的默认策略是ACCEPT，所有不匹配任何规则的数据包都被接受。

    如果您想要您所期望的，请不要提及任何接口，然后该规则将应用于所有可用接口：

    -A INPUT -j REJECT

    这也是在表上设置 DROP 的默认策略的一个很好的例子（当然，至少在之前将自己列入白名单）：

    iptables -P INPUT DROP

    希望这能解决您的问题。让我们知道数据包计数器或默认策略是否不符合我的预期。

    • 1

相关问题