请问 iptables-state选项的作用 还有-m选项

lyhabc

请问 iptables-state选项的作用 还有-m选项
iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 110 -j ACCEPT
iptables -R INPUT 2 -s 172.16.0.0/16 -d 172.16.100.1 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

不是很理解 -m 和 --state的含义

我发现我们的sa是这样写的
iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT

csoho2000

iptables没用过，man看了下 --state说的是连接状况，new意味着包开启了个新连接

不知道意思对不对

chenyx

MATCH EXTENSIONS
       iptables can use extended packet matching modules.  These are loaded in
       two ways: implicitly, when -p or --protocol is specified, or  with  the
       -m  or  --match  options,  followed  by the matching module name; after
       these, various extra command line options become  available,  depending
       on  the  specific module.  You can specify multiple extended match mod-
       ules in one line, and you can use the -h or --help  options  after  the
       module has been specified to receive help specific to that module.

       The  following  are included in the base package, and most of these can
       be preceded by a "!" to invert the sense of the match.

-m是模块的意思。

      [!] --state state
              Where  state  is a comma separated list of the connection states
              to match.  Possible states are INVALID meaning that  the  packet
              could  not  be identified for some reason which includes running
              out of memory and ICMP errors  which  don’t  correspond  to  any
              known connection, ESTABLISHED meaning that the packet is associ-
              ated with a connection which has seen  packets  in  both  direc-
              tions, NEW meaning that the packet has started a new connection,
              or otherwise associated with a connection  which  has  not  seen
              packets  in both directions, and RELATED meaning that the packet
              is starting a new connection, but is associated with an existing
              connection, such as an FTP data transfer, or an ICMP error.

这个是state的解释。

chenyx

iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT

如果这么写，前面应该会有一条iptables -A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
这样的话，第一个连接会比配NEW那个链，后续的包会匹配Related那个

lyhabc

@chenyx
你的意思是 iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT这样写是无效的吗
只接受NEW 状态，不接受RELATED,ESTABLISHED状态，客户端还是无法链接服务器？

lyhabc

我看到sa写的脚本最后是这样的
#ACCESS ping
iptables -A INPUT -p icmp --icmp-type 8 -j ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT

chenyx

一般我们做iptables规则的时候,会设置默认规则是Drop.
那么,当你只允许NEW的包,肯定是不通的,所以需要添加那个规则
至于你的sa的规则,不知道他是如何想的,或者,他的默认规则不是Drop?那样的话,相当于没有防火墙啊

lyhabc

他在脚本的最后加了
#Deny all  
iptables -A INPUT -j DROP

fenyun689

不理解   -m 和 --state的含义

我看有的没有写这两个参数，有的写了。

yyu0378

state还要看你OUTPUT，主要为使用iptables的状态机，这样效率比较高