防火墙ACCEPT all疑问

tommy2004

iptables -L看到如下:
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
RH-Firewall-1-INPUT  all  --  anywhere             anywhere           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
RH-Firewall-1-INPUT  all  --  anywhere             anywhere           

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain RH-Firewall-1-INPUT (2 references)
target     prot opt source               destination         
ACCEPT   all  --  anywhere             anywhere     
ACCEPT   all  --  anywhere   anywhere   state RELATED,ESTABLISHED
ACCEPT   all  --  218.1.1.10         anywhere           
REJECT    all  --  anywhere   anywhere  reject-with icmp-host-prohibit

下面这句什么意思
target                      prot opt source     destination      
RH-Firewall-1-INPUT  all  --  anywhere    anywhere   
如果是全部流量都允许通过，那后面的规则就没有意义了,另外这句也是:
Chain RH-Firewall-1-INPUT (2 references)
target     prot opt source               destination         
ACCEPT   all  --  anywhere             anywhere

采风

偶来解释：

1、RH-Firewall-1-INPUT  all  --  anywhere    anywhere   
这句的意思只是所有的packet可以到达RH-Firewall-1-INPUT，并不是说所有的packet都被ACCEPT了；

2、Chain RH-Firewall-1-INPUT (2 references)
target     prot opt source               destination         
ACCEPT   all  --  anywhere             anywhere
这句应该是针对lo端口的设置，只是iptables -L不显示Interface而已，你可以用iptables-save验证一下。

tommy2004

2、Chain RH-Firewall-1-INPUT (2 references)
target     prot opt source               destination         
ACCEPT   all  --  anywhere             anywhere
这句应该是针对lo端口的设置，只是iptables -L不显示Interface而已，你可以用iptables-save验证一下。

iptables-save我运行后出错了，
[root@hehe root]# iptables -save
iptables v1.2.8: no command specified
Try `iptables -h' or 'iptables --help' for more information.

platinum

"iptables-save" != "iptables -save"

tommy2004

原帖由 platinum 于 2006-8-13 09:42 发表
"iptables-save" != "iptables -save"

谢谢，显示如下：
[root@DXDS-3 root]# iptables-save
# Generated by iptables-save v1.2.8 on Sun Aug 13 09:44:44 2006
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1757770942:539916851435]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p esp -j ACCEPT
-A RH-Firewall-1-INPUT -p ah -j ACCEPT
其中esp和ah是什么意思啊，我找了很多资料和书都没有找到这2个词，还有
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1757770942:539916851435]
:RH-Firewall-1-INPUT - [0:0]
也不懂什么意思，请教各位！

platinum

esp 和 ah 是两种 IPSec 要用到的协议，具体可以去 google

:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1757770942:539916851435]
:RH-Firewall-1-INPUT - [0:0]
这是定义链的，属于链的声明，如果是 iptables-save 格式，必须这么写

tommy2004

原帖由 platinum 于 2006-8-13 10:02 发表
esp 和 ah 是两种 IPSec 要用到的协议，具体可以去 google

:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1757770942:539916851435]
:RH-Firewall-1-INPUT - [0:0]
这是定义链的，属于链的声 ...

这是定义链的，属于链的声 ...能否解析一下 [1757770942:539916851435]

[0:0]这些数字是什么意思吗.我找过网上一般的资料都没有介绍的,书上也没有,谢谢!!

platinum

[packet:size]
[0:0] 就是都没有
这个数字仅是一个 counter 而已

tommy2004

是不是可以认为iptables -L的输出:
Chain RH-Firewall-1-INPUT (2 references)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere           

和iptables-save的输出:
-A RH-Firewall-1-INPUT -i lo -j ACCEPT

是等价的呢??

platinum

iptables -L 看到的东西很不完整
iptables -vnL 显示出来的东西才应该是等价的