配置iptables遇到的疑惑，希望高手能帮忙解答一下。

chenyx

/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

这句重要,楼主要写上

marsaber

原帖由 ji.hf_space 于 2009-3-16 14:15 发表
不好意思九楼的兄弟，我没有看明白你表达的意思，能再详细的指导一下吗？

哪点不明白？
一起学习学习。

marsaber

DMZ区，一般存放重要服务器，存在DMZ区的网络另外还会存在另外一个网络（均内网）。
稍稍熟悉安全的网友都知道，85%的攻击来自内部（这数据很多书上都有，如何得来？洋鬼子调查的结果吧）。
DMZ区就是为了防范内部攻击的。
既然192.168.0.5对10.10.0.0/24是开放的，你大可不必将192.168.0.5划分到DMZ区。

个人理解。
欢迎指正。

chenyx

还有一条,应该允许DNS流量通过

ji.hf_space

/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

这句话的意思是什么呀，
我个人理解，既然防火墙充当网关了。那就没有INPUT的行为了，它只是起到转发的。他提供的功能只是访问控制，不涉及到向防火前INPUT数据包吧。

什么地方理解不正确希望指正！

marsaber

对谁而言？
代理服务器的DNS解析吗？

marsaber

难道你平时不上去管理吗？

chenyx

原帖由 ji.hf_space 于 2009-3-16 14:30 发表
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

这句话的意思是什么呀，
我个人理解，既然防火墙充当网关了。那就没有INPUT的行为了，它只是起到转发的。他提供的功能只是访问控 ...

你访问外网,外网应答,相对state应该是RELATED,连接建立,state是ESTABLISHED
不允许的话,没有应答怎么建立连接

marsaber

INPUT是针对本机的。

ji.hf_space

现在暂时没有考虑远程管理，只是在服务器上管理防火墙，如果是这样，还需要配置
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
吗？