发现网上有很多linux服务器的所有端口都可以建立socket连接，这不是很危险吗？

zlove3

网上搜了一下，这些主机的系统都是 linux as4的，有个共同的特点。从0到60000，每个端口（即使端口是关闭的）都可以socket连接上。
这是怎么回事啊，想不明白，应该不是什么误操作问题，因为我是默认安装的，而且网上也有很多跟我情况类似的主机，所以应该不是个别问题。

但正常的情况应该是：socket请求关闭的端口时提示“unable to connect to www.xx.com:10 (由于连接方在一段时间后没有正确答复或连接的主机没有反应，连接尝试失败。”

有大虾对linuxas4这个版本问题熟悉的吗？

kenduest

預設就是這樣的。

不管你用 windows, linux,freebsd 等，預設網路就是有這個特性。除非你有另外設定過，比方用 firewall 只有開放必要 port，其他連入都 DROP 封包也就可以了。

freebsd 可以透過 sysctl 調整網絡配置，blackhole 項目可以指定這類特性。

zlove3

cat /etc/sysconfig/iptables内容如下，但还是不行，我要怎么改啊
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p ipv6-crypt -j ACCEPT
-A RH-Firewall-1-INPUT -p ipv6-auth -j ACCEPT
-A RH-Firewall-1-INPUT -d 224.0.0.251 -p udp -m udp --dport 5353 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --dport 25 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT

kenduest

1. -A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited

复制代码

1. -A RH-Firewall-1-INPUT -j DROP

复制代码

man iptables 先看一下 REJECT 與 DROP 差別

kns1024wh

socket是一种应用通讯实现的方式，可以通过策略进行保护如iptables的netfilter或者Selinux的安全上下文

我为人民服务

学习了