引，防火墙只开22的为什么

kofp493158

/sbin/iptables -P INPUT DROP
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

为什么要加上，sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
这个不是一般只有FTP才会用到吗

chenyx

http://linux.chinaunix.net/bbs/viewthread.php?tid=812400

7. 使用 -P INPUT DROP 引起的主機本身對外連線不通问题？

为了更严厉的防火墙存取限制，一般初学者会这样配配置： iptables -P INPUT DROP

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
复制代码也就是主机只有打算开放 ssh 服务对外提供存取。

这样乍看之下好像非常正确，但是设定好后外面是可以連到該 port 22 服務，但是卻導致了一個後續的問題，也就是 "該主機若是要主動對外要建立連線卻被禁止"。比方這台服務主機無法使用 ssh 登入到遠端主機，也無法用瀏覽器看其他主機 port 80 的 http 服務的。

引起該問題的原因呢？ TCP/IP 本身是双向的，也就是有出必有进，有进必有出。这个规则没考虑到这点问题。

当主机对外要建立连线时，对方势必也要回应封包到原主机，所以回应的封包是要被允许的。不过该配置来看却没考虑到这点问题，所以导致回应的封包被丢弃，所以连线根本建立失败。

所以設定 -P INPUT DROP 時，一般正确方式应该考虑加上允许主機本身對外連線時對方回应封包项目，也就是： iptables -P INPUT DROP

iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
复制代码-m state --state ESTABLISHED 扮演很重要角色，那就是允许连线出去后对方主机回应进来的封包。

[ 本帖最后由 chenyx 于 2009-10-28 15:24 编辑 ]

gamester88

允许发出去回来的包进来

marsaber

只要你OUTPUT是ACCEPT的，这句不加貌似也没什么问题吧？

emmoblin

主要是iptable不是基于状态的防火墙，所以要加上基于session状态的跟踪

marsaber

/sbin/iptables -P INPUT DROP
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT

这样的话，22端口就不能访问了吗？

kns1024wh

没有22端口不能远程管理

jxwoy

原帖由 marsaber 于 2009-10-28 17:42 发表
/sbin/iptables -P INPUT DROP
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT

这样的话，22端口就不能访问了吗？

iptables -P OUTPUT DROP #主要目的是对外连接作管控
-m state -state ESTABLISHED,RELATED -j ACCEPT #也是出于安全的考虑

26105957

6楼的可行

lys0212linux

有意思。。。