去除存在的连接

zsbbh

用cat /proc/net/ip_conntrack |grep 子网机器的IP地址查看倒连接后，用哪个命令去除这台机器与外网的所有连接呢？

platinum

若是 TCP 连接，可以利用 -j REJECT --reject-with tcp-reset 的方式向双方返回 RST 标记断开连接
若是 UDP 连接，只能利用 DROP 等待其在 conntrack 内的消亡时间耗尽

5iwww

我用和msn 的链接测试了一下 ，第一次是生效的，msn掉线了，但是再登上来后，规则还在，但是就无效了

iptables -I FORWARD 1 -s 192.168.0.162 -d 207.46.0.0/16 -p tcp --dport 1863 -j REJECT --reject-with tcp-reset

我是这么写的 ，为什么呢？

platinum

原帖由 5iwww 于 2007-11-14 16:57 发表
我用和msn 的链接测试了一下 ，第一次是生效的，msn掉线了，但是再登上来后，规则还在，但是就无效了

iptables -I FORWARD 1 -s 192.168.0.162 -d 207.46.0.0/16 -p tcp --dport 1863 -j REJECT --reject-with tcp-reset

有几种可能
1、端口不一定是 1863，有的时候也用 443，也不排除还有使用其他非正常端口的可能
2、目的 IP 不一定就是那个 C，MSN 的集群有很多，不排除还有其他 IP 的可能

总而言之，你的限制太死了，匹配范围太小