☰

iptablesには冗長ルールパラメータが必要ですか？

tag-icon • tag-icon iptables
iptablesには冗長ルールパラメータが必要ですか？

iptablesにSSHルールが必要だとしましょう。しかし、我々はまた、すべてのルールに対して異なるチェーンを指定したいと思います。次のようなものを使用できます。

iptables -t filter -N ssh
iptables -t filter -N tcp
iptables -t filter -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j tcp
iptables -t filter -A tcp -p tcp --dport 22 -m conntrack --ctstate NEW -j ssh
iptables -t filter -A ssh -p tcp --dport 22 -m conntrack --ctstate NEW -s 10.10.10.10/32 -m mac --mac-source 10:10:10:10:10:10 -j ACCEPT
iptables -t filter -A ssh -p tcp --dport 22 -m conntrack --ctstate NEW -s 11.11.11.11/32 -m mac --mac-source 11:11:11:11:11:11 -j ACCEPT

すべてのルールにすべてのオプションを指定する必要がありますか、それともサブチェーンでは省略できますか？たとえば、最終的なSSHルールは次のようになります。

iptables -t filter -A ssh -s 10.10.10.10/32 -m mac --mac-source 10:10:10:10:10:10 -j ACCEPT
iptables -t filter -A ssh -s 11.11.11.11/32 -m mac --mac-source 11:11:11:11:11:11 -j ACCEPT

答え1

これを防ぐには、新しいチェーンが必要です。

iptables -N sshgroup1
# or reset with iptables -F sshgroup1 if it already exists
iptables -t filter -A ssh -s 10.10.10.10/32 -m mac \
  --mac-source 10:10:10:10:10:10 -j sshgroup1
iptables -t filter -A sshgroup1 ... -j ACCEPT
iptables -t filter -A sshgroup1 ... -j ACCEPT

答え2

LAN上の2つのホスト間のSSH接続のみを許可するには、このルールを一番上に置いてiptablesをより高速に実行する必要があります。

iptables -I INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -I INPUT -p tcp --dport 22 -s 10.10.10.10/32 -m mac --mac-source 10:10:10:10:10:10 -j ACCEPT
iptables -I INPUT -p tcp --dport 22 -s 11.11.11.11/32 -m mac --mac-source 11:11:11:11:11:11 -j ACCEPT

それ以外の場合は、ネットワーク、ポリシー、トラフィックに応じてさまざまな組み合わせがあります。

経験則：より速いパフォーマンスのために冗長ルールを避け、一致レベルを最小限に抑えます。

関連情報