iptables、真の開放性は何だろうか？

Question

Iptablesは、最初のルールが特定のプログラムを満たす必要があるpam構成ファイルとは異なります。 iptablesでは、すべてのルールを満たす必要があります。

これは完全に間違っています。ルールは順番に巡回され、一致するルールが組み込みターゲット（ACCEPT、DROPまたはQUEUE）のいずれかにジャンプすると、パケット処理は終了します。これ以上ルールは巡回されません。「どこにでもACCEPTがなければ、何もファイアウォールを通過できません」という主張は真ですが（DROPポリシーを使用）、パケットが真になるためにすべてのACCEPT規則と一致する必要はなく、1つだけ到達すればよいです。

カスタムチェーンにジャンプするか（この場合はチェーンのルールが順番に試みられる）、まったくジャンプせずに単に存在するためにブロックされるいくつかのルールがある可能性があるため、パケットは複数の一致ルールによって処理される可能性があります。他の理由（例えば、ロギング）が到着すると、ACCEPTパケットDROPは送信または破棄されます。QUEUE到着すると、パケットは追加の処理のためにユーザー領域に転送され、このパケットに対してルールは処理されなくなります。最後に、処理が組み込みチェーンの終わりに達した場合にのみ、そのチェーンのポリシーが適用されます。

たとえば、iptables -L次のように表示されるとします。

Chain INPUT (policy DROP) target prot opt source
destination ACCEPT all -- anywhere anywhere

ポリシーはそのため、DROP特定の規則によって明示的に許可されたパケットのみが通過します。ルールそうだすべてを許可するのと同じですが、必ずしもそうではありません。iptables -L省略された条件がある可能性があります。 Run はiptables -vLすべての条件を印刷します。一般的に省略される条件はインタフェースです。すべてのループバックトラフィックを許可するルールを持つことが一般的です。あなたは次のようなものを見るでしょう

# iptables -L INPUT 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            
# iptables -vL INPUT
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     all  --  lo     any     anywhere             anywhere

ルールがすべてのトラフィックを許可すると、送信者列にany表示されます。iniptables -vL INPUT

Answer 1