¿Cuál es una razón para tener las reglas ACEPTAR y SOLTAR para el mismo tráfico en iptables?

Question

Encontré esto en las iptables de mi servidor:

-A INPUT -i eth2.600 -p udp -m udp --sport 53 -m limit --limit 10000/sec --limit-burst 200 -j ACCEPT
-A INPUT -i eth2.600 -p udp -m udp --sport 53 -j DROP

¿Se aceptarán paquetes desde el puerto 53 o no? ¿O se aceptarán siempre que la primera regla esté bien (no se alcance el límite) y luego se eliminarán?

Answer 1

La acción sólo se tomará sitodolas condiciones de la regla coinciden: otros paquetes "pasan" a la siguiente regla. Lo mismo se aplica si el puerto no coincide, el protocolo no coincide o el límite de velocidad no coincide.

Entonces, si el paquete cumple con el límite, -m limitserá ACEPTADO, pero si no cumple con el límite, entoncesNoLa primera regla tomará la acción: el paquete simplemente bajará a la segunda regla (DROP).

Tener un DROP explícito depende del conjunto de reglas; no es 100% necesario (por ejemplo, al final podría haber un DROP general o una política de abandono global), pero proporciona cierta claridad si el conjunto de reglas es muy largo y evita que los mismos paquetes sean aceptados accidentalmente por otra regla siguiente.