iptables - 默认情况下如何允许 IP 被阻止

Question

我需要允许从特定 IP 访问端口 11211 到现有规则（在服务器加载后运行的脚本中）

我想添加的行：

iptables -A INPUT -p tcp -s xx.xx.xx.xx --dport 11211 -j ACCEPT

但是 iptables 已经包含此端口的下线，所以我的线将在后面追加并且永远不会工作。下降线：

DROP       tcp  --  anywhere             anywhere            tcp dpt:11211

我该怎么做？

Answer 1

使用iptables -I INPUT -p tcp -s xx.xx.xx.xx --dport 11211 -j ACCEPT这将在 INPUT 链的开头插入规则，并将在现有的 DROP 规则之前进行处理。iptables 从上到下工作，第一条规则匹配获胜。一旦确定它正常工作，不要忘记保存 iptables 配置。

Answer 2

您正在寻找“插入”而不是“附加”。AFAIR你可以使用

iptables -I INPUT <slot> -p tcp -s xx.xx.xx.xx --dport 11211 -j ACCEPT

将规则插入链中所需的插槽。要找到正确的插槽编号，请使用iptables -nL然后从 1 开始计算规则。

我认为你也可以省略插槽让 iptables 在第一个插槽（顶部）插入新规则。