Saya membaca howto ini , dan ada sesuatu seperti ini:
Kami dapat mengizinkan sesi yang ditetapkan untuk menerima lalu lintas:
$ sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
Aturan di atas tidak memiliki spasi di kedua sisi koma dalam DIDIRIKAN, TERKAIT
Jika baris di atas tidak berfungsi, Anda mungkin menggunakan VPS kastrasi yang penyedianya belum menyediakan ekstensi, dalam hal ini versi yang lebih rendah dapat digunakan sebagai upaya terakhir:
$ sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
Apakah ada perbedaan yang signifikan dalam bekerja antara -m conntrack --ctstate
dan -m state --state
? Mereka mengatakan bahwa seseorang mungkin tidak bekerja, tetapi mereka tidak mengatakan mengapa. Mengapa saya lebih suka yang satu daripada yang lain?
state
sebenarnya adalah alias untukconntrack
. Jadi tidak masalah. Saya kira di beberapa titik di masa depan mereka mungkin menghapusstate
sama sekali tetapi untuk saat ini tidak masalah jika Anda menggunakannya.Jawaban:
Saya tidak mengklaim sebagai ahli dengan
iptables
aturan, tetapi perintah pertama menggunakan ekstensi pelacakan koneksi (conntrack
) sementara yang kedua adalah menggunakanstate
ekstensi.Titik data # 1
Menurut dokumen ini dengan
conntrack
ekstensi digantikanstate
.Titik data # 2
Meski begitu saya menemukan T&J SF ini berjudul: Pertanyaan Firewall tentang status dan kebijakan? di mana OP mengklaim telah mengajukan pertanyaan ini pada IRC di # iptables @ freenode. Setelah mendiskusikannya di sana ia sampai pada kesimpulan bahwa:
Titik data # 3
Terakhir saya menemukan Tanya Jawab SF berjudul: Iptables, apa perbedaan antara -m state dan -m conntrack? . Jawaban dari pertanyaan ini mungkin merupakan bukti dan saran terbaik tentang cara melihat penggunaan
conntrack
danstate
.kutipan
Titik data # 4
Saya menemukan utas ini dari diskusi [email protected] netfilte / iptables, berjudul: state match sudah usang 1.4.17 , yang cukup banyak mengatakan bahwa
state
itu hanyalah aliasconntrack
sehingga tidak terlalu penting yang Anda gunakan, di kedua keadaan yang Anda gunakanconntrack
.kutipan
Referensi
sumber
Saya bukan ahli netfilter, tetapi saya melihat halaman man iptables-extension dan mengejutkan, itu dia
Jadi status adalah bagian dari conntrack dan hanya versi yang lebih sederhana jika Anda benar-benar hanya perlu - negara dan bukan fitur yang lebih mewah dari conntrack
sumber