您如何阻止 X 端口上的新传入 tcp 连接？

Question

您如何阻止 X 端口上的新传入 tcp 连接？需要用iptables来完成。我实际上有一个有效的 iptables 命令，但即使 ip_conntrack_max 设置非常高，我们也总是达到 ip_conntrack_max。有没有办法在不跟踪的情况下做到这一点？

Answer 1

如果您想阻止尝试建立到给定端口的新会话，但仍允许数据包通过已建立的会话，您需要执行以下操作：

iptables -A INPUT -j DROP -p tcp --syn --destination-port dport

这应该允许从本地机器发起的任何连接，碰巧使用dport作为其本地端口号。

Answer 2

这应该会阻止流量而不涉及 conn_track：

iptables -A INPUT -j DROP -p tcp --destination-port <your port>

连接跟踪应该仅在您指定-m state或--state在您的规则中执行其工作。