Quando ho avuto il primo contatto con Iptables, ero confuso riguardo ai parametri -I e -A, -ho inserito una o più regole, e -A era una regola aggiuntiva.
Tutto ruota attorno all'aggiunta di una regola, qual è la differenza tra i due?
Rsperimento:
Ho preso due macchine, una ha inviato un pacco PING e l'altra era PING.
Entrambe le macchine lo guardano con iptables -nvL INPUT, e iptables è vuoto
Poi aggiungi iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j DROP alla macchina che viene PINGATA
Poi usa iptables -nvL INPUT per verificare come segue:
Chain INPUT (politica ACCETTA 592 pacchetti, 55783 byte)
PKTS bytes target prot opt out destinazione sorgente
8 672 DROP ICMP -- * * 0.0.0.0/0 0.0.0.0/0 icmp tipo 8
A questo punto, il pacchetto PING mostrato dalla macchina che inviava il pacchetto PING si fermava.
In questo momento, aggiungi iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j ACCEPT alla macchina in fase di PING
Poi usa iptables -nvL INPUT per verificare come segue:
Chain INPUT (politica ACCETTA 678 pacchetti, 62701 byte)
PKTS bytes target prot opt out destinazione sorgente
21 1764 ICMP DROP -- * * 0.0.0.0/0 0.0.0.0/0 icmp tipo 8
0 0 ACCETTA icmp -- * * 0.0.0.0/0 0.0.0.0/0 ICMP tipo 8
È stata aggiunta una regola al display iptables, ma i pacchetti PING mostrati dalla macchina che ha inviato il pacchetto PING sono ancora fermati, dimostrando che la nuova regola aggiunta non può rilasciare il pacchetto PING
Aggiungi iptables -I INPUT -p icmp --icmp-type 8 -s 0/0 -j ACCEPT alla macchina PINGED
Poi usa iptables -nvL INPUT per verificare come segue:
Chain INPUT (policy ACCEPT 770 pacchetti, 70223 byte)
PKTS bytes target prot opt out destinazione sorgente
2 168 ACCETTA icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp tipo 8
31 2604 ICMP DROP -- * * 0.0.0.0/0 0.0.0.0/0 icmp tipo 8
0 0 ACCETTA icmp -- * * 0.0.0.0/0 0.0.0.0/0 ICMP tipo 8
Visualizza iptables Viene aggiunta una nuova regola e il pacchetto PING visualizzato dalla macchina che ha inviato il pacchetto PING salterà di nuovo, dimostrando che la nuova regola può rilasciare il pacchetto PING
L'unica differenza tra le due regole è che -A e -I aggiungono la regola dopo la regola DROP, e la regola -I aggiungo prima della regola DROP.
Gli iptables sono abbinati dalle regole dall'alto verso il basso, e le regole di rilascio devono entrare in vigore prima delle regole di divieto.
Iptables viene eseguito dall'alto verso il basso - la A viene aggiunta al retro - la I viene aggiunta alla parte anteriore.
|
Pubblicato su 07/12/2015 16:16:36
|
|
|
