作者  prsb (快轉量產吧～～)                                      看板  Linux 
 標題  [問題] iptables設定問題                                                
 時間  Sat Oct  6 10:04:58 2012                                               
───────────────────────────────────────

我有個小問題想請問

iptables設定成
iptables -P INPUT   DROP
iptables -P OUTPUT  ACCEPT
iptables -P FORWARD ACCEPT

跟
iptables -P INPUT DROP
iptables -A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i ppp0 -m state --state RELATED,ESTABLISHED -j ACCEPT

有差異嗎?

就安全性來說，會有很大的差別嗎？

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 111.243.92.226
→ kdjf:第一個的結果是斷網吧....
推 hukhuk:二個別人都無法建syn到你的本機裡
→ kdjf:第二個不開server的人沒什麼差啦
推 cem236321:第一二個都是直接斷網吧....
推 cem236321:囧？不是SERVER喔？
→ OrzOGC:有架server的話再開需要的port就好
推 Tetralet:就個人所知（有錯請指正），第一個寫法，會完全連不上網
→ Tetralet:但 FORWARD 的封包可以過去... 這是 router 才有用的規則
→ Tetralet:但，要當 router，很可能尚欠一條 MASQUERADE 之類的規則
→ Tetralet:還有要設 ip_forward 之類的
→ Tetralet:第二條規則，大多是用在主動式 FTP 那種會開２個 port 的
→ Tetralet:但你又沒收 NEW 之類的封包，所以這幾條規則應該是無意義
→ Tetralet:也就是，別人怎麼樣都進不來的

感謝各位的回覆，我確實是要用在server上的，我少貼了下面的規，現在一起補上。


#!/bin/bash
iptables -F
iptables -X
iptables -Z
iptables -P INPUT   DROP
#iptables -P OUTPUT  ACCEPT
#iptables -P FORWARD ACCEPT

#eth0/ppp0
iptables -A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i ppp0 -m state --state RELATED,ESTABLISHED -j ACCEPT

#localhost
iptables -A INPUT -i lo -j ACCEPT

#intranet
iptables -A INPUT -i eth0 -S 192.168.0.0/24 -j ACCEPT

#ssh
iptables -A INPUT -i ppp0 -p tcp --dport xx -j ACCEPT

#webmin
iptables -A INPUT -i ppp0 -p tcp --dport xx -j ACCEPT

#Apache2
iptables -A INPUT -i ppp0 -p tcp --dport 80 -j ACCEPT

#Proftpd
iptables -A INPUT -i ppp0 -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -m multiport -p tcp --dports 49152:65534 -j ACCEPT

#noip2
iptables -A OUTPUT -o ppp0 -p tcp --dport 8245 -j ACCEPT



--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 111.243.95.157
※ 編輯: prsb            來自: 111.243.95.157       (10/07 11:27)