主页 / unix / 问题 / 527867
Accepted
spaceman117X
Asked: 2019-07-02 04:44:57 +0800 CST

强制 iptables 立即使 drop 规则生效

  • 772

我有以下设置：在/etc/iptables/rules.v4

# Generated by iptables-save v1.4.21 on Mon Jul  1 11:32:00 2019
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [3:620]
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -s 192.168.35.107/32 -p icmp -m icmp --icmp-type 8 -j DROP
-A INPUT -s 192.168.35.0/24 -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -s 192.168.35.0/24 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -j DROP
COMMIT
# Completed on Mon Jul  1 11:32:00 2019

从上面我们看到我想阻止来自特定 IP 的 ping。在我用 保存规则并用iptables-restore < /etc/iptables/rules.v4列出规则后iptables -L，我可以断定 ip 为 192.168.35.107 的计算机无法 ping 服务器。

但是，具有该 IP 的计算机能够无限期地ping ，直到我中断会话。即使在我中断 ping 之后，我仍然需要暂停大约 60 秒，直到我无法再次 ping。如果我在 ping 命令之间暂停 5-10 秒，防火墙会让我通过。

有趣的是，当我通过 iptables 启用 ping 时，它会立即工作。我也尝试过使用 Samba 端口 445。相同的。

有没有办法让 iptables 丢弃的端口立即生效？

iptables iptables-persistent

2 个回答

  1. Best Answer

    您遇到这种行为是因为您的系统nf_conntrack*启用了 netfilter 的连接跟踪系统（模块系列），并且您的--state RELATED,ESTABLISHED规则（显然设置为ACCEPT）位于 ping 的特定DROP规则之前。

    这些-m state规则以及更细粒度的-m conntrack规则依赖于连接跟踪系统，该系统还跟踪诸如 UDP 和 ICMP 之类的协议，即使这些协议在技术上不是面向连接的。它通过在其列表中建立一个具有默认到期超时的“连接”条目来跟踪这些协议。这些默认值可以通过下面的特定文件进行查询和设置/proc/sys/net/netfilter/，通常是那些名为nf_conntrack_*_timeout.

    作为 ICMP 无连接协议，连接跟踪系统无法检测到任何此类“连接”何时真正完成，因此只能依赖超时驱动的启发式方法。因此，只要连接跟踪列表中有一个条目与您的源 IP/目标 IP icmp“对话”匹配，任何-m state --state ESTABLISHED规则都将匹配该流量，在您的情况下，根据您的特定规则接受它。

    您注意到的“~60 秒”超时实际上应该是 30 秒，因为这通常是/proc/sys/net/netfilter/nf_conntrack_icmp_timeout. 但是，它可能已echo通过将不同的值添加到该文件中而被更改。

    另请注意，这些文件中的值适用于从那时起的新“连接”。要查看连接跟踪系统已知的当前条目，以及它们当前的过期超时，您可以使用conntrack可能需要安装的命令。使用该命令，您还可以修改或删除条目。

    有没有办法让 iptables 丢弃的端口立即生效？

    最简单的方法是始终将DROP规则放在-m state ACCEPT 规则之前。

    一种替代方法可能是：每次添加DROP规则时，还要运行相应的conntrack命令来删除当前活动的条目。

    • 4

  2. 发生这种情况是因为您在该主机的连接表中仍然有一个条目，并且该iptables实用程序在添加或删除其规则时不会以任何方式刷新或弄乱它。

    为此，您应该安装该conntrack(8)实用程序，该实用程序可用于操作内核的实时连接跟踪表。它为此使用了一个 netlink 套接字接口，它提供了无法通过/proc或其他方式获得的功能。

    例如，conntrack -F将刷新所有连接，conntrack -D --dst=8.8.8.8将删除具有该目标的conntrack -D --src=192.168.35.107所有条目，将删除具有该源的所有条目等。

    它很容易安装在大多数发行版上，例如。apt-get install conntrack,yum install conntrack等。

    • 1

相关问题