向 platinum請教一個iptables 的問題。

一個小人物

platinum你好，請教一個問題。從外網(wǎng)來的數(shù)據(jù)通過防火墻要訪問防火墻后面的一臺服務(wù)器，它依次要通過，mangle的 prerouting 、nat 的prerouting、mangle的forward 、filter 的forward 、mangle的postrouting、nat的postrouting。才能到達(dá)這個服務(wù)器。對吧？那么當(dāng)這個服務(wù)器響應(yīng)了它的請求，并向其返回數(shù)據(jù)時，是否也要依次通過上面這些鏈的檢查？謝謝。

一個小人物

在嗎?

platinum

http://blog.platinum.net.cn/index.php?op=ViewArticle&articleId=70&blogId=1
不同的鏈有不同的用途，不能單單去看數(shù)據(jù)包走的順序，要“專鏈專用”

一個小人物

我的意思是說，我在編寫規(guī)則時，是否需要考慮這個服務(wù)器返回的數(shù)據(jù)包要經(jīng)過的規(guī)則鏈，要允許它通過。是否需要？

platinum

一般情況下，僅僅 DROP 掉你要 DROP 的就好了，其他不必考慮
因為很多協(xié)議，比如 FTP 這樣的，會動態(tài)牽扯很多端口，如果在 OUTPUT 做限制只能是多給自己找麻煩

一個小人物

另外，在IPtables中，如果我允許了狀態(tài)為new的數(shù)據(jù)包通過，則任何端口的數(shù)據(jù)請求都將充許，如果只允許狀態(tài)為established和related 的數(shù)據(jù)包通過，那么外網(wǎng)的所有請求都被屏蔽。這樣，我該如果使用這種狀態(tài)防火墻呢？
比如：

iptables -A INPUT  -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp  -i eth0 --dport 80 -j ACCEPT

iptables -A INPUT  -p tcp -j DROP

iptables -A OUTPUT -j ACCEPT


這樣還能請求web服務(wù)嗎？

一個小人物

原帖由 "platinum" 發(fā)表：
一般情況下，僅僅 DROP 掉你要 DROP 的就好了，其他不必考慮
因為很多協(xié)議，比如 FTP 這樣的，會動態(tài)牽扯很多端口，如果在 OUTPUT 做限制只能是多給自己找麻煩

這樣的話，因為我是訪問防火墻后面的一臺服務(wù)器，是不是應(yīng)該將向外走的FORWARD鏈打開。即： iptables -A  FORWARD  -i  eth0  -o eth1  -j ACCEPT                          

eth0 內(nèi)網(wǎng)網(wǎng)卡    eth1  外網(wǎng)網(wǎng)卡。

platinum

原帖由 "一個小人物" 發(fā)表：
另外，在IPtables中，如果我允許了狀態(tài)為new的數(shù)據(jù)包通過，則任何端口的數(shù)據(jù)請求都將充許，如果只允許狀態(tài)為established和related 的數(shù)據(jù)包通過，那么外網(wǎng)的所有請求都被屏蔽。這樣，我該如果使用這種狀態(tài)防火墻呢？
比如：

iptables -A INPUT  -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp  -i eth0 --dport 80 -j ACCEPT

iptables -A INPUT  -p tcp -j DROP

iptables -A OUTPUT -j ACCEPT


這樣還能請求web服務(wù)嗎？

你試試咯
如果你真的想把問題搞清楚，不妨說說你的理解

platinum

原帖由 "一個小人物" 發(fā)表：

這樣的話，因為我是訪問防火墻后面的一臺服務(wù)器，是不是應(yīng)該將向外走的FORWARD鏈打開。即： iptables -A  FORWARD  -i  eth0  -o eth1  -j ACCEPT                           

eth0 內(nèi)網(wǎng)網(wǎng)卡    eth1  外網(wǎng)網(wǎng)卡。

如果后面有 IP，你肯定做過 DNAT
但我相信，你的 DNAT 不是隨便做的

一個小人物

原帖由 "platinum" 發(fā)表：

如果后面有 IP，你肯定做過 DNAT
但我相信，你的 DNAT 不是隨便做的

是有DNAT。我是想問，是否需要將FORWARD向外的規(guī)則設(shè)為允許？