关于iptables的默认配置

welcome008

# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT


谁能帮我解释下，为什么要加：
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT这一行及
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT 这一行？

有了:INPUT ACCEPT [0:0]
不是所有的连接都可以接入吗？为什么要加上面两行呢？谢谢！

joyclear

今天正好看了下iptables, 简单回答下，有错误请指正
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT这一行及
针对刚出去通讯的返回，例如访问内部（10000）访问公网一网站（80端口），必然有相应80-->10000的返回通讯。

-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT 这一行？
开放SSH

为什么有了:INPUT ACCEPT [0:0]还需要上面的，因为还有下面一条
-A INPUT -j REJECT --reject-with icmp-host-prohibited
所以如果没有这条，那默认策略应该设置为 INPUT DROP

vermouth

全是允许，还加一条 -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT ？

lyhabc

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT这一行及
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT 这一行？
state有，new，ESTABLISHED，RELATED   tcp链接的各个阶段 都accept
--dport 22 运行ssh协议

不过我觉得确实多此一举

chenyx

谁能帮我解释下，为什么要加：
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT这一行及
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT 这一行？
因为最后有一个规则-A INPUT -j REJECT --reject-with icmp-host-prohibited，没有上面的规则，相当于系统Drop任何包进入