|
|
Publicado em 07/12/2015 16:16:36
|
|
|
Quando tive contato pela primeira vez com o Iptables, fiquei confuso sobre os parâmetros -I e -A, -inseri uma ou mais regras, e -A era uma regra adicional.
Tudo se resume a adicionar uma regra, qual é a diferença entre as duas?
Experimento:
Peguei duas máquinas, uma enviou um pacote PING e a outra foi PING.
Ambas as máquinas analisam com iptables -nvL INPUT, e iptables está vazio
Depois, adicione iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j DROP à máquina que está sendo PINGADA
Depois, use iptables -nvL INPUT para verificar da seguinte forma:
Chain INPUT (política ACEITAR 592 pacotes, 55783 bytes)
PKTS bytes alvo prot opt out destino de origem
8 672 DROP icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp tipo 8
Nesse ponto, o pacote PING exibido pela máquina que enviou o pacote PING parou.
Neste momento, adicione iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j ACCEPT à máquina que está sendo PINGADA
Depois, use iptables -nvL INPUT para verificar da seguinte forma:
Chain INPUT (política ACEITAR 678 pacotes, 62701 bytes)
PKTS bytes alvo prot opt out destino de origem
21 1764 DROP ICMP -- * * 0.0.0.0/0 0.0.0.0/0 ICMP tipo 8
0 0 ACEITAR icmp -- * * 0.0.0.0/0 0.0.0.0/0 ICMP tipo 8
Uma regra foi adicionada ao display iptables, mas os pacotes PING exibidos pela máquina que enviou o pacote PING ainda são parados, provando que a regra recém-adicionada não pode liberar o pacote PING
Adicione iptables -I INPUT -p icmp --icmp-tipo 8 -s 0/0 -j ACCEPT à máquina com PING
Depois, use iptables -nvL INPUT para verificar da seguinte forma:
Chain INPUT (política ACEITAR pacotes 770, 70223 bytes)
PKTS bytes alvo prot opt out destino de origem
2 168 ACEITAR ICMP -- * * 0.0.0.0/0 0.0.0.0/0 ICMP tipo 8
31 2604 DROP icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp tipo 8
0 0 ACEITAR icmp -- * * 0.0.0.0/0 0.0.0.0/0 ICMP tipo 8
Exibir iptables Uma nova regra é adicionada, e o pacote PING exibido pela máquina que enviou o pacote PING saltará novamente, provando que a regra recém-adicionada pode liberar o pacote PING
A única diferença entre as duas regras é que -A e -I adicionam a regra após a regra DROP, e a regra -I add antes da regra DROP.
Os iptables são combinados com regras de cima para baixo, e as regras de liberação devem entrar em vigor antes das regras de banimento.
Iptables é executado de cima para baixo - a é adicionado ao verso - i é adicionado ao fronte.
|
Anterior:530 Por favor, faça login com resolução de erros USER e PASSPróximo:Entenda pings de entrada, saída, encaminhamento e proibição
|
