继续求问IPTABLES问题 高手请进入查看 谢谢

speed_fj

顶一下 ：）

platinum

[quote]原帖由 "speed_fj"]我写的应该没错阿[/quote 发表：

我给你分析一下

1. 
   
2. firewall1.sh
   
3. 
   
4. /sbin/iptables -F
   
5. 
   
6. echo 0 >; /proc/sys/net/ipv4/ip_forward
   
7. 
   
8. /sbin/iptables -P INPUT ACCEPT
   
9. /sbin/iptables -P OUTPUT ACCEPT
   
10. 
    
11. /sbin/iptables -A INPUT -p tcp --syn -j DROP
    
12. /sbin/iptables -A INPUT -p udp --destination-port :1025 -j DROP
    

复制代码

这个脚本允许了1025以上的UDP协议进入系统

1. 
   
2. firewall2.sh
   
3. 
   
4. /sbin/iptables -F
   
5. 
   
6. echo 0 >; /proc/sys/net/ipv4/ip_forward
   
7. 
   
8. /sbin/iptables -P INPUT DROP
   
9. /sbin/iptables -P OUTPUT ACCEPT
   
10. 
    
11. /sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    

复制代码

这个脚本看上去没有问题，但实际上也有问题，且第一个脚本也有同样的问题
就是你没有允许lo设备数据包的进入，也就是127.0.0.1，或者叫localhost，访问本系统，这个也应该有的，有的服务需要

speed_fj

第一个脚本应该是丢弃了0～1025 udp端口吧 因为我写着:1025

需要写lo吗 呵呵 我不太清楚 我加一下吧 谢谢斑竹

请问您对QMAIL熟悉吗

lovellgg

第一个肯定有问题的,看一下3次握手的过程吧,A------Syn----->;B
A<---Syn/Ack----B
A-----Ack------>;B 这样,建立了3次握手,你把SYN全部drop掉,不是很合理吧?
第二个,INPUT被全部drop掉了,怎么去建立合理的连接?

platinum

原帖由 "lovellgg" 发表：
第一个肯定有问题的,看一下3次握手的过程吧,A------Syn----->;B
A<---Syn/Ack----B
A-----Ack------>;B 这样,建立了3次握手,你把SYN全部drop掉,不是很合理吧?
第二个,INPUT被全部drop掉了,怎么去建立合?.........

第一个，他只禁止了纯SYN请求的数据包
第二个，他有/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT这句话

speed_fj

请问内核追踪链接很费力嘛？

speed_fj

继续顶

platinum

[quote]原帖由 "speed_fj"]请问内核追踪链接很费力嘛？[/quote 发表：

没懂
你是在问人费力还是机器费力？

speed_fj

机器呀 我实在搞不懂 我那2个防火墙代码加上去 上网就变慢了

水中风铃

是怎么 个慢法
用iptables-save把结果贴出来