相关疑难解决方法(0)

我终于设法安装了我的 VM 主机，现在我正在使用 iptables 来创建、测试和学习。

1. 我将以下规则放在规则的开头还是结尾有关系吗？

   $IPT -P INPUT DROP
   $IPT -P FORWARD DROP
   $IPT -P OUTPUT DROP
   

   Run Code Online (Sandbox Code Playgroud)

   我已经测试过，没有区别，但我想确认一下。

   到目前为止我选择的答案： 尽早应用您的政策是个好主意。把它们放在开头。内部流量的 DROP 规则可能会导致问题。

2. 具有以下规则将被视为防火墙故障？

   $IPT -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
   

   Run Code Online (Sandbox Code Playgroud)

   如果没有这个规则，我需要为我的 ssh 连接添加一个 OUTPUT 规则，例如：

   $IPT -A OUTPUT -p tcp --sport 2013 -j ACCEPT
   

   Run Code Online (Sandbox Code Playgroud)

   答： 经过更多测试并与#iptables@freenode 上的人交谈后，我得出的结论是，使用-m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTINPUT 和 OUPUT 是一个很好的方法，可以帮助您处理很多事情，例如 FTP，这是一个很好的方法，因为除非您打开该给定端口并被接受，否则不会有恶意连接。

   这是一个不使用上述内容的正常示例：

   $IPT -A INPUT -p tcp --dport 20:21 -j ACCEPT
   $IPT -A OUTPUT -p tcp --dport 20:21 -j ACCEPT …

   Run Code Online (Sandbox Code Playgroud)