iptables简单问题。

sqsowen

请问，对一个端口的input的动作是丢弃的，但output是接受的，这样能把端口封住吗？是不是只要input的丢弃了，output的接受或者丢弃都可以？

PowellCrack

你能提出这个问题，说明你对IP socket的工作方式并不了解。你可以多看看IP socket的书。这样你就了解TCP链接机制了。

PowellCrack

简单举例如下：

1） 有一服务器S，运行一个后台服务，监听端口80.那么这个服务的描述就是 S：80 （或者sss.sss.sss.sss:80）
2） 有一客户端C 尝试访问服务器S：80，那么C会出现 C （ccc.ccc.ccc.ccc ----> sss.sss.sss.sss:80）这样的链接请求，同时会在请求里给出，如国S做出答复，应该使用哪一个端口来链接C（这个端口会是一个随机数）
3） 服务器S，收到C的请求，并知道C的临时端口，那么作为回应C的请求，就会发出 （sss.sss.sss.sss:80 ------> ccc.ccc.ccc.ccc:nnn)类似的链接，这个就是IP socket

现在回答你的问题，input丢弃，意味着所有尝试外来链接都会被丢弃。如果站在S的角度来考虑，就是丢弃sss.sss.sss.sss:80的链接。但是如果S想要对外发出请求，并不受到影响。即， sss.sss.sss.sss ---> ccc.ccc.ccc.ccc:nnn这样的访问是允许的。