iptables输入，输出规则

Question

我需要有关此iptables规则的帮助。 我不明白为什么8080端口需要输入规则

具有公共ip 123.123.123.123的服务器

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT

iptables -I INPUT 1 -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp --dport 8080 -s 123.123.123.123 -j ACCEPT

当我禁用输入规则pro 8080时，防火墙将阻止端口8080

当SERVER尝试打开GET 123.123.123.123:8080失败时！ （响应超时）为什么？

为什么它没有启用规则ESTABLISHED，相关？

Answer 1

iptables -I INPUT 1 -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

^这适用于已建立的连接，因此id不会捕获任何新连接。

iptables -A INPUT -p tcp --dport 8080 -s 123.123.123.123 -j ACCEPT

^，这个可以捕获任何试图将TCP数据包发送到123.123.123.123:8080并接受它的内容。 如果您在没有该条目时无法连接到该服务，则是因为您的链中还有其他东西会引起交通拥堵并使-j REJECT或-j DROP

...或者您在此链上有拒绝或放弃政策。

检查iptables -L INPUT进行检查，并检查iptables -P INPUT ACCEPT进行更改。

检查链中正在发生什么的一种简单方法是检查iptables -L -n -v 。 verbose参数将为您提供每个规则的pkts和字节数，因此观看它可以找出您的规则是否捕获了任何东西。

Answer 2

谢谢，解决方案是不启用输入接受

但是为从服务器到自身的所有连接添加启用

iptables -I INPUT 2 -p all -m state --state NEW -s 123.123.123.123 -j ACCEPT

我没有说服服务器的新连接有效（已启用OUTPUT），但是防火墙随后获得了与INPUT的新连接...默认情况下未启用