|
|
Postat pe 07.12.2015 16:16:36
|
|
|
Când am intrat prima dată în contact cu Iptables, eram confuz în legătură cu parametrii -I și -A, -am introdus una sau mai multe reguli, iar -A a fost o regulă suplimentară.
Totul ține de a adăuga o regulă, care este diferența dintre cele două?
Experiment:
Am luat două aparate, unul a trimis un pachet PING, iar celălalt a fost PING.
Ambele mașini îl privesc cu iptables -nvL INPUT, iar iptables este gol
Apoi adaugă iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j DROP pe mașina care este PING-ată
Apoi folosește iptables -nvL INPUT pentru a verifica după cum urmează:
Chain INPUT (politica acceptă pachete 592, 55783 octeți)
PKTS bytes țintă prot opt out destinație sursă
8 672 DROP icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmp tip 8
În acest moment, pachetul PING afișat de mașina care a trimis pachetul PING s-a oprit.
În acest moment, adăugați iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -j ACCEPT la mașina care este PING-ată
Apoi folosește iptables -nvL INPUT pentru a verifica după cum urmează:
Chain INPUT (politica ACCEPT 678 pachete, 62701 octeți)
PKTS bytes țintă prot opt out destinație sursă
21 1764 ICMP DROP -- * * 0.0.0.0/0 0.0.0.0/0 icmp tip 8
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 ICMP tip 8
A fost adăugată o regulă pe afișajul iptables, dar pachetele PING afișate de mașina care a trimis pachetul PING sunt încă oprite, dovedind că regula nou adăugată nu poate elibera pachetul PING
Adaugă iptables -I INPUT -p icmp --icmp-type 8 -s 0/0 -j ACCEPT la mașina cu PING
Apoi folosește iptables -nvL INPUT pentru a verifica după cum urmează:
Chain INPUT (politica acceptă pachete 770, 70223 bytes)
PKTS bytes țintă prot opt out destinație sursă
2 168 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 ICMP tip 8
31 2604 ICMP DROP -- * * 0.0.0.0/0 0.0.0.0/0 icmp tip 8
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 ICMP tip 8
Afișează iptables Se adaugă o regulă nouă, iar pachetul PING afișat de mașina care a trimis pachetul PING va sări din nou, demonstrând că regula nou adăugată poate elibera pachetul PING
Singura diferență între cele două reguli este că -A și -I adaugă regula după regula DROP, iar regula -I add înainte de regula DROP.
Iptables sunt potriviți cu regulile de sus în jos, iar regulile de eliberare trebuie să intre în vigoare înainte de regulile de interdicție.
Iptables se execută de sus în jos - A este adăugat în spate - i în față.
|
Precedent:530 Vă rugăm să loghați cu rezoluția erorilor USER și PASSUrmător:Înțelege ping-urile de intrare, ieșire, direcționare și interzicere
|
