в этой лекции мы снова увидим цели accept и drop, это больше похоже на резюме, потому что
мы уже использовали их во многих примерах, и accept и drop являются конечными целями,
если пакет сопоставляется с правилом, которое имеет accept или drop цель: пакет
принят или отброшен и больше не будет проходить по цепочке. Позвольте мне показать вам пример,
я хочу разрешить входящий пакет ping только со станции управления или с одного IP-адреса
перед началом работы. Я хочу объяснить вам, что означает ping. в случае, если вы не знаете, что ping - это
служебная команда, доступная в любой операционной системе, и она служит двум основным целям:
проверить, доступен ли целевой хост, и измерить время приема- передачи сообщений,
отправленных с исходного хоста на целевой хост, который отражаются обратно к источнику в
соответствии с википедии название происходит от розового активной терминологии сонара, который посылает
импульс звука и прослушивает эхо - сигнала для обнаружения объектов под водой
пинг работает, посылая Inte протокол управляющих сообщений rnet или пакет эхо-запроса icmp
к целевому хосту и ожидание пакетов эхо-ответа icmp, поэтому разрешение пинга фактически означает разрешение
входящего пакета эхо-запроса icmp и исходящего пакета эхо-ответа icmp
посмотрим xhelp iptables минус пикмп протокол icmp минус минус help
мы заметили, что мы указываем тип пакета icmp, используя минус минус тип icmp минус,
и это все доступные типы icmp,
среди которых мы видим эхо-ответ и эхо-запрос
в этом примере я напишу правила iptables только для входной цепочки, поэтому для входящих трафик,
но вы также можете написать правила iptables для выходных цепочек, поэтому первое правило будет разрешать
входящие пакеты icmp типа эхо-запрос, если исходный IP-адрес является IP-адресом хоста управления
в этом примере, я буду рассматривать хост управления
как записывающая машина Windows с адресом ap
192 168.0.112.
iptables минус вход минус p icmp минус минус icmp минус тип эхо минус запрос минус s
192.168.0.112 минус j за исключением
и второе правило, которое отбрасывает все входящие пакеты эхо-запроса icmp, если исходным адресом
является другой хост, а не станция управления, поэтому iptables минус ввод минус пикмп минус минус
icmp минус тип эхо-запрос минус j drop на самом деле это то же правило без параметра минус s,
поэтому без IP-адреса источника давайте проверим его, если приходит пакет с IP-адресом источника
192.168.0, он будет принято первым правилом, являющимся конечной целью, пакет
не будет оцениваться вторым правилом, которое, конечно, отбросит его, если оно оценит пакет
со станции управления, я собираюсь пинговать linux one,
и пинг работает идеально, и я перечисляя брандмауэр,
и теперь мы видим пакеты с максимальным количеством пакетов по первому правилу,
если пакет эхо-запроса поступает с другого IP-адреса,
первое правило не будет соответствовать, а второе правило отбросит пакет, давайте пингуем его из linux 2.
и мы замечаем, что linux 2 ничего не получает обратно, второе правило отбрасывает
любые пакеты эхо-запроса, поступающие с другого исходного IP-адреса
, по второму правилу 37 отброшенных пакетов