iptables Standardregeln verstehen

0

Was bedeutet der letzte Teil der folgenden Regeln in Bezug auf den zulässigen Datenverkehr (dtp: domain, bootps)? Aufgrund meiner Recherchen verstehe ich, dass bootps ein Bootstrap und dpt ein Zielport ist, aber ich verstehe nicht, was es tatsächlich tut oder zulässt, und ich bezweifle, dass es Pakete zulässt, da solche Standardregeln keinen Sinn ergeben. (Ich habe in der Manpage nach iptables gesucht, aber keine Antwort gefunden.) 

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  anywhere             anywhere            udp dpt:domain 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:domain 
ACCEPT     udp  --  anywhere             anywhere            udp dpt:bootps 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:bootps
iptables badactadar
quelle
1
Es wäre klarer, wenn Sie die Ausgabe von veröffentlichen würden iptables -S.
grawity
Sie können auch die -n (numerische) Option zu iptables. Andernfalls werden Ports und IP-Adressen in Dienstnamen bzw. Hostnamen aufgelöst.
Daniel B

Antworten:

3

Die Regeln erlauben den Empfang von UDP- und TCP-Paketen, die an die Ports 53 (mit dem Namen "Domain"; der DNS-Port) und 67 (mit dem Namen "Bootps"; der DHCP- und BOOTP-Server-Port) gesendet wurden.

Die Namen sind von /etc/services, der selbst aus der von IANA gepflegten Masterliste stammt. Heutzutage bedeutet "Booten" DHCP, eine verbesserte Form des alten BOOTP-Protokolls.

Kurz gesagt, die Regeln sollten es dem System ermöglichen, als DNS & amp; DHCP-Server.

Randnotiz 1: Die 4. Regel ist etwas nutzlos, da DHCP / BOOTP noch nie verwendet TCP. Wem auch immer der Regelsatz geschrieben wurde, war das egal.

Nebenbemerkung 2: Beachten Sie, dass die Kette "policy ACCEPT" hat, was im Grunde bedeutet, dass ganz unten eine implizite "accept anything" -Regel steht.

Da es also keine Regeln gibt, die Pakete ablehnen oder verwerfen würden alles Pakete werden akzeptiert, wodurch alle vier Regeln überflüssig werden.

grawity
quelle
"Die Regeln sollten es dem System ermöglichen, als DNS- und DHCP-Server zu fungieren." ; meinst du "DNS & amp; DHCP"? Klient "wie diese sind INPUT Regeln?
sxc731
2

Die Dienste "domain" und "bootps" sind in / etc / services aufgelistet

Versuchen grep 'domain' /etc/services um die Portnummer für den Dienst zu erhalten.

Oder iptables -nL um Ihre Regeln mit Portnummern anstelle des Dienstnamens aufzulisten.

Horselover Fat
quelle