Iptables 本地迴環介面容易造成誤解的配置

SangriaChant發表於2024-05-07

使用 iptables -L 可能會看到類似如下的配置

Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere

第二條規則看上去像是允許了任意來源和目標的流量，但實際驗證的效果卻是後續的防火牆規則仍然在工作。

這是因為，第二條規則實際上僅針對本地迴環 (lo) 介面，當使用 iptables -L 檢視時進行了省略，使用 iptables-save 可以得到完整的防火牆規則如下

-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT

相關文章