iptables 阻止端口范围与单端口异常

Question

我有两个规则。首先阻止范围内的所有端口：

-A INPUT -m state --state NEW -m tcp -p tcp --match multiport --dports 200:65535 -j DROP

和第二个在这个范围内打开一个：

-A INPUT -i eth0 -p tcp --dport 5901 -m state --state NEW,ESTABLISHED -j ACCEPT

但它不起作用。有谁知道为什么？

Answer 1

IIRCiptables规则依赖于顺序：如果第一个规则匹配，它将不再解析。颠倒顺序，您应该实现您想要做的事情。

扩展：并非总是如此，一些规则（fe -j LOG）允许数据包处理更进一步。但常见的ACCEPT,REJECT等规则不是。如果您将 iptables 视为一种过程式编程语言，那就最好了：规则会尝试匹配并始终按顺序线性执行。