继续求问IPTABLES问题 高手请进入查看 谢谢

speed_fj

问题跟以前的一样 我用的MANDRAKE 10.1 默认没有防火墙 所以IPTABLES写了2个脚本

firewall1.sh

/sbin/iptables -F

echo 0 >; /proc/sys/net/ipv4/ip_forward

/sbin/iptables -P INPUT  ACCEPT
/sbin/iptables -P OUTPUT ACCEPT

/sbin/iptables -A INPUT -p tcp --syn -j DROP
/sbin/iptables -A INPUT -p udp --destination-port :1025 -j DROP



/////////////////////////////////////////////////////////


firewall2.sh

/sbin/iptables -F

echo 0 >; /proc/sys/net/ipv4/ip_forward

/sbin/iptables -P INPUT  DROP
/sbin/iptables -P OUTPUT ACCEPT

/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT


///////////////////////////////////////////////////////////

问题是 运行了以后上网速度很慢阿 特别是解析的时候 查看/proc/net/ip_conntrack 没什么异常 tcpdump也没看出来什么问题

请问这是什么问题？

零二年的夏天

为什么写两个呢？

speed_fj

第一个慢 我就写了第2个 还是慢 关掉就OK了 奇怪呀

platinum

firewall1.sh

/sbin/iptables -F

echo 0 >; /proc/sys/net/ipv4/ip_forward

/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -P OUTPUT ACCEPT

/sbin/iptables -A INPUT -p tcp --syn -j DROP
/sbin/iptables -A INPUT -p udp --destination-port :1025 -j DROP



/////////////////////////////////////////////////////////


firewall2.sh

/sbin/iptables -F

echo 0 >; /proc/sys/net/ipv4/ip_forward

/sbin/iptables -P INPUT DROP
/sbin/iptables -P OUTPUT ACCEPT

/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

实在搞不懂你用这样的规则来实现什么
不知道你的具体需求是什么，也不知道你写的到底对不对

speed_fj

就不允许探测呀 最基础的防火墙功能 对肯定对的

platinum

你的不对，思路混乱！

用这个

1. 
   
2. iptables -P INPUT DROP
   
3. iptables -P FORWARD DROP
   
4. iptables -A INPUT -i lo -j ACCEPT
   
5. iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
   

复制代码

anttna

原帖由 "speed_fj" 发表：
firewall1.sh

/sbin/iptables -F

echo 0 >; /proc/sys/net/ipv4/ip_forward

/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -P OUTPUT ACCEPT

/sbin/iptables -A INPUT -p tcp --syn -j DROP
/sbin/iptables -A INPUT -p udp --destination-port :1025 -j DROP

/sbin/iptables -A INPUT -p tcp --syn -j DROP
不太明白，把所有的SYN标志的包都drop，那怎么建立正常的tcp连接？

speed_fj

不允许外部发来新建的TCP连接呀 我又不开服务的

speed_fj

我写的应该没错阿

speed_fj

你这个跟我firewall1.sh 不是一样麻

[quote]原帖由 "platinum"][/quote 发表：


你的不对，思路混乱！

用这个


代码:



iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT