iptables: różnica między pakietami NEW, ESTABLISHED i RELATED

Część zapory na serwerze:

iptables -A INPUT -p tcp --dport 22 -m state NEW --state -m recent --set

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 100 --hitcount 10 -j DROP

Kiedy szukam online, zawsze widzę, że NOWOŚĆ jest używana w tej regule, ale trudno mi zrozumieć, dlaczego USTANOWIONE i POWIĄZANE nie są używane.

Lubię to :

iptables -A INPUT -p tcp --dport 22 -m state NEW,ESTABLISHED,RELATED --state -m recent --set

iptables -A INPUT -p tcp --dport 22 -m state --state NEW,ESTABLISHED,RELATED -m recent --update --seconds 100 --hitcount 10 -j DROP

Czy ktoś może mi wyjaśnić, kiedy dokładnie NOWY pakiet zmienia się w USTALONY i POWIĄZANY?

Rozważ NOWE połączenie telefoniczne, zanim odbiornik odbierze połączenie. USTANOWIONY pakiet to ich „Hello”. A pakiet POWIĄZANY byłby, gdybyś dzwonił, aby powiedzieć im o wiadomości e-mail, którą zamierzasz wysłać. (Adres e-mail jest POWIĄZANY.)

Jeśli moja analogia nie jest tak świetna, osobiście uważam, że strony podręcznika radzą sobie z nią dobrze:

NOWOŚĆ - co oznacza, że ​​pakiet nawiązał nowe połączenie lub w inny sposób jest powiązany z połączeniem, które nie widziało pakietów w obu kierunkach, oraz

ESTABLISHED - oznacza, że ​​pakiet jest powiązany z połączeniem, które widziało pakiety w obu kierunkach,

POWIĄZANE - co oznacza, że ​​pakiet rozpoczyna nowe połączenie, ale jest powiązany z istniejącym połączeniem, takim jak transfer danych FTP lub błąd ICMP.

iptables (8) - strona podręcznika użytkownika systemu Linux

Przydzielenie zarówno serwerowi, jak i klientowi restrykcyjnego INPUTi otwartego OUTPUT, tj .:

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT

Oraz z rozszerzeń iptables (8) na przykładzie FTP w trybie aktywnym:

1. NOWOŚĆ

NOWOŚĆ Pakiet nawiązał nowe połączenie lub w inny sposób jest powiązany z połączeniem, które nie widziało pakietów w obu kierunkach.

Klient na porcie 50000(dowolny losowy nieuprzywilejowany port) łączy się z serwerem FTP na porcie 21, serwer potrzebowałby przynajmniej tego, aby zaakceptować to połączenie przychodzące:

iptables -A INPUT --dport 21 -m state --state NEW -j ACCEPT

2. USTANOWIONE

USTANOWIONY Pakiet jest powiązany z połączeniem, które widziało pakiety w obu kierunkach.

Teraz po stronie klienta, otworzył połączenie wychodzące do serwera na porcie 21przy użyciu portu lokalnego 50000i potrzebuje następujące iptables, aby umożliwić reakcję przybyć od server (21)do client (50000):

sudo iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

3. POWIĄZANE

POWIĄZANE Pakiet rozpoczyna nowe połączenie, ale jest powiązany z istniejącym połączeniem, takim jak transfer danych FTP lub błąd ICMP.

Teraz po ustanowieniu połączenia FTP i zbliżeniu się połączenia danych, klient otworzy gniazdo serwera (tak, przy aktywnym kliencie FTP staje się serwerem połączenia danych) na porcie 60000(według mojego zrozumienia klient oznaczy ten port 60000co RELATEDdo drugiego połączenia z 50000->21) i wyśle ​​ten numer portu do serwera za pomocą PORTpolecenia FTP . Następnie serwer FTP otworzy nowe połączenie ze swojego portu 20do portu 60000na kliencie, i cóż, klient wymaga teraz następujących elementów, aby zezwolić na to nowe połączenie:

sudo iptables -A INPUT -m state --state RELATED -j ACCEPT

Na koniec, aby to zadziałało, musisz włączyć ip_conntrack_ftpmoduł jądra, aby system mógł oznaczać połączenia / pakiety jako RELATED(to rozumiem, nie kopałem zbyt wiele na tym):

modprobe ip_conntrack_ftp