iptables 跳数过滤

Question

问题很简单：在小型局域网内过滤数据包是否有意义，以便 DMZ 机器可以基于 TTL 访问内部数据包？我可以控制不会创建从内部 LAN 到外部的隧道，但我不确定 TTL 值是否可靠，或者是否可以伪造。

谢谢大家！！

Answer 1

尝试实施这没有意义。原因如下：

• TTL 最初可以设置为任何原始系统的感觉。例如，这就是 traceroute 的工作方式。因此，除了跟踪路由或防止路由循环外，测量 TTL 对任何事情都不是很有用。
• 将 DMZ 与其他本地网络分开的目的是防止对 DMZ 的危害影响这些本地网络，特别是从现在受到危害的 DMZ 系统发起的攻击形式。