iptables: perbedaan antara paket BARU, ESTABLISHED dan TERKAIT

Bagian dari firewall di server:

iptables -A INPUT -p tcp --dport 22 -m state NEW --state -m recent --set

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 100 --hitcount 10 -j DROP

Ketika saya mencari secara online, saya selalu melihat BARU digunakan dalam aturan itu, tetapi saya kesulitan memahami mengapa ESTABLISHED dan RELATED tidak digunakan.

Seperti ini :

iptables -A INPUT -p tcp --dport 22 -m state NEW,ESTABLISHED,RELATED --state -m recent --set

iptables -A INPUT -p tcp --dport 22 -m state --state NEW,ESTABLISHED,RELATED -m recent --update --seconds 100 --hitcount 10 -j DROP

Dapatkah seseorang menjelaskan kepada saya kapan tepatnya paket BARU berubah menjadi DIDIRIKAN dan TERKAIT?

Pertimbangkan paket BARU panggilan telepon sebelum penerima mengangkat. Paket ESTABLISHED adalah, "Halo." Dan paket yang TERKAIT adalah jika Anda menelepon untuk memberi tahu mereka tentang email yang akan Anda kirimi mereka. (Surel tersebut TERKAIT.)

Jika analogi saya tidak terlalu bagus, saya pikir halaman manual menanganinya dengan baik:

BARU - artinya paket telah memulai koneksi baru, atau terkait dengan koneksi yang belum melihat paket di kedua arah, dan

ESTABLISHED - artinya paket dikaitkan dengan koneksi yang telah melihat paket di kedua arah,

TERKAIT - artinya paket memulai koneksi baru, tetapi dikaitkan dengan koneksi yang ada, seperti transfer data FTP, atau kesalahan ICMP.

iptables (8) - Halaman manual Linux

Asumming baik untuk server dan client bersifat restriktif INPUTdan terbuka OUTPUT, yaitu:

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT

Dan dari iptables-extensions (8) di atas contoh FTP dalam mode aktif:

1. BARU

BARU Paket telah memulai koneksi baru atau dikaitkan dengan koneksi yang belum melihat paket di kedua arah.

Client on port 50000(sembarang port unprivileged acak) terhubung ke server FTP pada port 21, server akan memerlukan setidaknya ini untuk menerima koneksi masuk ini:

iptables -A INPUT --dport 21 -m state --state NEW -j ACCEPT

2. DIDIRIKAN

DIDIRIKAN Paket ini dikaitkan dengan koneksi yang telah melihat paket di kedua arah.

Sekarang di sisi klien, ia membuka koneksi keluar ke server pada port 21menggunakan port lokal 50000dan ia membutuhkan iptables berikut untuk memungkinkan tanggapan datang dari server (21)ke client (50000):

sudo iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

3. TERKAIT

TERKAIT Paket memulai koneksi baru, tetapi dikaitkan dengan koneksi yang ada, seperti transfer data FTP atau kesalahan ICMP.

Sekarang setelah koneksi FTP telah dibuat dan koneksi data akan dilakukan, klien akan membuka soket server (ya, dengan klien FTP aktif menjadi server untuk koneksi data) pada port 60000(menurut pemahaman saya klien akan menandai port ini 60000sebagai RELATEDuntuk koneksi lain dari 50000->21) dan akan mengirimkan nomor port ini ke server menggunakan FTP PORTperintah. Kemudian server FTP akan membuka koneksi baru dari port-nya 20ke port 60000pada klien, dan yah, klien sekarang memerlukan yang berikut untuk memungkinkan koneksi baru ini berhasil:

sudo iptables -A INPUT -m state --state RELATED -j ACCEPT

Akhirnya, agar ini berfungsi, Anda perlu mengaktifkan ip_conntrack_ftpmodul kernel untuk memungkinkan sistem menandai koneksi / paket sebagai RELATED(ini adalah pemahaman saya, saya belum menggali terlalu banyak tentang ini):

modprobe ip_conntrack_ftp