关于iptables

zxz0220

还有个问题，这样做确实可以了，但为什么网页开得非常慢？

platinum

试试再说呢？
我不敢肯定UDP是否也受这个限制
理论上应该和UDP无关的，不过我实在想不出你这个规则除了这里和我的不同以外其他还差在哪

另外，你把INPUT链和FORWARD链的数据包混合处理，不觉得乱吗？
INPUT和FORWARD的工作机制都不一样，一个是防止进入服务器的，一个是防止经过服务器的，你一起处理，我不敢保证有什么问题，也从来没这么做过，也没见别人这么做过……

zxz0220

原帖由 "platinum" 发表：
试试再说呢？
我不敢肯定UDP是否也受这个限制
理论上应该和UDP无关的，不过我实在想不出你这个规则除了这里和我的不同以外其他还差在哪

另外，你把INPUT链和FORWARD链的数据包混合处理，不觉得乱吗？
INPUT和F..........

多谢老大，因为接触iptables时间不是很长，才刚看完你的部分关于iptables的文章，所有还没有把思路理清晰，再仔细想想。非常感激老大的帮助

zxz0220

就是因为没有把子链分解清楚，所以导致了这些问题，按照过滤机制把FORWARD和INPUT链分别处理后，一切都正常了。我还按照platinum老大的文章加入了string、iprange、ipp2p这些模块，经过实验，都正常过滤了

platinum

恭喜你：）
其实geoip模块也很好，他可以用CN、JP等来表示国家的IP地址，你自己不用知道到底哪个国家的IP都是什么，GEOIP需要一个地址库

iptables geoip match
Author: Samuel Jean <sjean@cookinglinux.org>;; Nicolas Bouliane <nib@cookinglinux.org>;  
Status: Testing


This patch makes possible to match a packet
by its source or destination country.

GeoIP options:
        [!]   --src-cc, --source-country country[,country,country,...]
                                                     Match packet coming from (one of)
                                                     the specified country(ies)

        [!]   --dst-cc, --destination-country country[,country,country,...]
                                                     Match packet going to (one of)
                                                     the specified country(ies)

           NOTE: The country is inputed by its ISO3166 code.

The only extra files you need is a binary db (geoipdb.bin) & its index file (geoipdb.idx).
Both files are generated from a countries & subnets database with the csv2bin tool,
available at www.cookinglinux.org/geoip/. Both files MUST also be moved in /var/geoip/
as the shared library is statically looking for that pathname (ex.: /var/geoip/geoipdb.bin).

比如，你要限制日本人访问你的服务器，那就非常方便了^_^

zxz0220

原帖由 "platinum" 发表：


比如，你要限制日本人访问你的服务器，那就非常方便了^_^

老大，这东西可是经典啊