iptables规则

tomasea

那位大侠帮忙解释下，这iptables的规则是啥意思，
[root@oratest ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:1158

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

7717060

将目标端口为1158的源地址和目标地址协议是tcp的数据放行

chenyx

INPUT默认是ACCEPT,规则不会有效

vermouth

不是全部放行了么？

tomasea

[root@localhost ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
RH-Firewall-1-INPUT  all  --  0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
RH-Firewall-1-INPUT  all  --  0.0.0.0/0            0.0.0.0/0           

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain RH-Firewall-1-INPUT (2 references)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:110
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
那如果是这样呢，input也是全部都接受，是不是我的地下的110和22基本上都是多余的

chenyx

这个不是多余的.
在INPUT和FORWARD都直接跳转到RH-Firewall-1-INPUT链了

emmoblin

我到觉得第一条规则是多余的

tomasea

[root@oratest ~]# iptables -L -n
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:1158
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:22
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
DROP       tcp  --  192.168.1.122        0.0.0.0/0           tcp dpt:22

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination  
大侠看我的这个规则，我的目的是让我的主机除了192.168.1.122这个地址以外都可访问它的22端口，但是我这样的规则加了后，192.168.1.122仍然能够访问，不知道是怎么回事，我的理解是因为有了一条规则是允许所有的地址访问的，所以这条规则没有实际意义，如果是这样的话，我想实现的是除了这个ip之外所有的ip都能放我我的22端口又该怎么实现呢

wendaozhe

原帖由 chenyx 于 2010-1-11 10:34 发表
INPUT默认是ACCEPT,规则不会有效

不是没效，是多余吧！

chenyx

顺序匹配,前面已经匹配了.
把drop放在accept之前