|
|
Publicado en 7/12/2015 16:16:36
|
|
|
Cuando entré en contacto por primera vez con Iptables, estaba confundido con los parámetros -I y -A, -inserté una o más reglas, y -A era una regla adicional.
Todo se trata de añadir una regla, ¿cuál es la diferencia entre ambas?
Experimento:
Llevé dos máquinas, una envió un paquete PING y la otra fue PING.
Ambas máquinas lo miran con iptables -nvL INPUT, e iptables está vacío
Luego añade iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j DROP a la máquina que se está PINGANDO
Luego usa iptables -nvL INPUT para comprobar lo siguiente:
Chain INPUT (política ACEPTA paquetes 592, 55783 bytes)
PKTS bytes objetivo prot destino opt out source
8 672 DROP icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp tipo 8
En ese momento, el paquete PING mostrado por la máquina que envió el paquete PING se detuvo.
En este momento, añadir iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j ACCEPT a la máquina que se está PINGANDO
Luego usa iptables -nvL INPUT para comprobar lo siguiente:
Chain INPUT (política ACEPTAR 678 paquetes, 62701 bytes)
PKTS bytes objetivo prot destino opt out source
21 1764 ICMP DROP -- * * 0.0.0.0/0 0.0.0.0/0 icmp tipo 8
0 0 ACEPTAR icmp -- * * 0.0.0.0/0 0.0.0.0/0 ICMP tipo 8
Se ha añadido una regla a la pantalla iptables, pero los paquetes PING mostrados por la máquina que envió el paquete PING siguen detenidos, demostrando que la nueva regla añadida no puede liberar el paquete PING
Añadir iptables -I INPUT -p icmp --icmp-tipo 8 -s 0/0 -j ACCEPT a la máquina con PING
Luego usa iptables -nvL INPUT para comprobar lo siguiente:
Chain INPUT (política ACEPTAR 770 paquetes, 70223 bytes)
PKTS bytes objetivo prot destino opt out source
2 168 ACEPTAR icmp -- * * 0.0.0.0/0 0.0.0.0/0 ICMP tipo 8
31 2604 ICMP DROP -- * * 0.0.0.0/0 0.0.0.0/0 icmp tipo 8
0 0 ACEPTAR icmp -- * * 0.0.0.0/0 0.0.0.0/0 ICMP tipo 8
Mostrar iptables Se añade una nueva regla, y el paquete PING mostrado por la máquina que envió el paquete volverá a saltar, demostrando que la nueva regla puede liberar el paquete PING
La única diferencia entre las dos reglas es que -A y -I añaden la regla después de la regla DROP, y la regla -I suma antes de la regla DROP.
Los iptables se ajustan a reglas de arriba hacia abajo, y las reglas de liberación deben entrar en vigor antes de las reglas de prohibición.
Iptables se ejecuta de arriba hacia abajo, se añade A al final - I al frente.
|
Anterior:530 Por favor, inicia sesión con resolución de errores USER y PASSPróximo:Entiende los pings de entrada, salida, reenvío y prohibición
|
