Czytam to howto i jest coś takiego:
Możemy zezwolić ustanowionym sesjom na odbieranie ruchu:
$ sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
Powyższa reguła nie ma spacji po obu stronach przecinka w USTANOWIONYM, POWIĄZANYM
Jeśli powyższa linia nie działa, możesz być na kastrowanym VPS, którego dostawca nie udostępnił rozszerzenia, w którym to przypadku można użyć gorszej wersji:
$ sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
Czy istnieje znacząca różnica w pracy między -m conntrack --ctstate
i -m state --state
? Mówią, że nie można pracować, ale nie mówią dlaczego. Dlaczego powinienem preferować jeden od drugiego?
state
to tak naprawdę alias doconntrack
. Więc to nie ma znaczenia. Przypuszczam, że w pewnym momencie w przyszłości mogą onestate
całkowicie usunąć, ale na razie nie ma znaczenia, czy je wykorzystasz.Odpowiedzi:
Nie twierdzę, że jestem ekspertem w zakresie
iptables
reguł, ale pierwsze polecenie korzysta z rozszerzenia śledzenia połączeń (conntrack
), a drugie korzysta zstate
rozszerzenia.Punkt danych nr 1
Według tego dokumentu
conntrack
przedłużenie wypartestate
.Punkt danych nr 2
Mimo to znalazłem to pytanie i odpowiedź SF: Pytania dotyczące zapory ogniowej na temat stanu i zasad? gdzie OP twierdził, że zadał to pytanie na IRC w # iptables @ freenode. Po omówieniu tego doszedł do wniosku, że:
Punkt danych nr 3
Wreszcie znalazłem to pytanie i odpowiedź SF: Iptables, jaka jest różnica między -m stanem i -m conntrack? . Odpowiedź na to pytanie jest prawdopodobnie najlepszym dowodem i poradą na temat sposobu korzystania z
conntrack
istate
.fragment
Punkt danych nr 4
Znalazłem ten wątek z dyskusji [email protected] netfilte / iptables, zatytułowany: dopasowanie stanu jest przestarzałe 1.4.17 , co w zasadzie mówi, że
state
to tylko alias,conntrack
więc nie ma znaczenia, którego używasz w obie okoliczności, których używaszconntrack
.fragment
Bibliografia
źródło
Nie jestem ekspertem od filtrów sieciowych, ale zajrzałem do strony podręcznika iptables-extension i niespodzianka, oto ona
Więc stan jest częścią conntrack i tylko jego prostszą wersją, jeśli naprawdę potrzebujesz - stan i nie z bardziej fantazyjnych funkcji conntrack
źródło