☰

Existe necessidade de repetir parâmetros de regra no iptables?

tag-icon • tag-icon iptables
Existe necessidade de repetir parâmetros de regra no iptables?

Digamos que precisamos de algumas regras ssh no iptables. Mas também queremos especificar outra cadeia para todas as regras. Poderíamos usar algo assim:

iptables -t filter -N ssh
iptables -t filter -N tcp
iptables -t filter -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j tcp
iptables -t filter -A tcp -p tcp --dport 22 -m conntrack --ctstate NEW -j ssh
iptables -t filter -A ssh -p tcp --dport 22 -m conntrack --ctstate NEW -s 10.10.10.10/32 -m mac --mac-source 10:10:10:10:10:10 -j ACCEPT
iptables -t filter -A ssh -p tcp --dport 22 -m conntrack --ctstate NEW -s 11.11.11.11/32 -m mac --mac-source 11:11:11:11:11:11 -j ACCEPT

Temos que especificar todas as opções em cada regra ou isso pode ser omitido nas cadeias inferiores? Por exemplo, as regras finais do ssh poderiam ser assim:

iptables -t filter -A ssh -s 10.10.10.10/32 -m mac --mac-source 10:10:10:10:10:10 -j ACCEPT
iptables -t filter -A ssh -s 11.11.11.11/32 -m mac --mac-source 11:11:11:11:11:11 -j ACCEPT

Responder1

Se quiser evitar isso, você precisa de uma nova cadeia:

iptables -N sshgroup1
# or reset with iptables -F sshgroup1 if it already exists
iptables -t filter -A ssh -s 10.10.10.10/32 -m mac \
  --mac-source 10:10:10:10:10:10 -j sshgroup1
iptables -t filter -A sshgroup1 ... -j ACCEPT
iptables -t filter -A sshgroup1 ... -j ACCEPT

Responder2

Se você deseja permitir conexões ssh de apenas dois hosts em sua LAN, você deve manter essas regras no topo para que o iptables funcione mais rápido.

iptables -I INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -I INPUT -p tcp --dport 22 -s 10.10.10.10/32 -m mac --mac-source 10:10:10:10:10:10 -j ACCEPT
iptables -I INPUT -p tcp --dport 22 -s 11.11.11.11/32 -m mac --mac-source 11:11:11:11:11:11 -j ACCEPT

Caso contrário, existem muitas combinações dependendo da sua rede, políticas e tráfego.

A regra geral é: tente evitar a repetição das regras e minimize o nível de correspondência para obter um desempenho mais rápido.

informação relacionada