iptables輸入，輸出規則

Question

我需要有關此iptables規則的幫助。 我不明白為什么8080端口需要輸入規則

具有公共ip 123.123.123.123的服務器

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT

iptables -I INPUT 1 -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp --dport 8080 -s 123.123.123.123 -j ACCEPT

當我禁用輸入規則pro 8080時，防火牆將阻止端口8080

當SERVER嘗試打開GET 123.123.123.123:8080失敗時！ （響應超時）為什么？

為什么它沒有啟用規則ESTABLISHED，相關？

Answer 1

iptables -I INPUT 1 -p all -m state --state ESTABLISHED,RELATED -j ACCEPT

^這適用於已建立的連接，因此id不會捕獲任何新連接。

iptables -A INPUT -p tcp --dport 8080 -s 123.123.123.123 -j ACCEPT

^，這個可以捕獲任何試圖將TCP數據包發送到123.123.123.123:8080並接受它的內容。 如果您在沒有該條目時無法連接到該服務，則是因為您的鏈中還有其他東西會引起交通擁堵並使-j REJECT或-j DROP

...或者您在此鏈上有拒絕或放棄政策。

檢查iptables -L INPUT進行檢查，並檢查iptables -P INPUT ACCEPT進行更改。

檢查鏈中正在發生什么的一種簡單方法是檢查iptables -L -n -v 。 verbose參數將為您提供每個規則的pkts和字節數，因此觀看它可以找出您的規則是否捕獲了任何東西。

Answer 2

謝謝，解決方案是不啟用輸入接受

但是為從服務器到自身的所有連接添加啟用

iptables -I INPUT 2 -p all -m state --state NEW -s 123.123.123.123 -j ACCEPT

我沒有說服服務器的新連接有效（已啟用OUTPUT），但是防火牆隨后獲得了與INPUT的新連接...默認情況下未啟用