关于iptables的问题？

youngboy_zhang

iptables的配置如下所示，问题是既然已经 accept all了，为什么还要定义下面的呢？

chain input (policy accept)
target     prot   opt   source          destination
accept     all             0.0.0.0          0.0.0.0                 state related,established                                          
accept     all             0.0.0.0          0.0.0.0
accept     tcp            1.1.1.1/26     0.0.0.0                 tcp dport:111

chenyx

你贴出来的不全吧
如果真是这个样子的规则,和没有规则没什么两样

Riet

加上 -v 第二all 可能是 lo口的

yyu0378

回复 3# Riet
上面的人说的是chain input (policy accept)这行的问题，默认规则为放行

laoadiy

个人的理解，就是如果默认放行都是ACCEPT，那么在这个链的最后加一条-j REJECT --reject-with xxxxx 那么你的规则就是这样
[root@localhost ~]# iptables -L -nv --line-numbers
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1      323 22848 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22
2        7   533 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
这样如果来的是dpt22 那么就校验这个第一条 如果不是dpt22 那么就校验第二条 这和把默认设置成drop一样  关了大门，拿钥匙开，跟开着大门，有不同的守卫看守不同的通道

youngboy_zhang

3楼正解。谢谢大家啦。