Iptables: «-p udp --state ESTABLISHED»

regardons ces deux règles iptables qui sont souvent utilisées pour autoriser les DNS sortants:

iptables -A OUTPUT -p udp --sport 1024:65535 --dport 53 
   -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -p udp --sport 53 --dport 1024:65535
   -m state --state ESTABLISHED -j ACCEPT

Ma question est: Comment dois-je comprendre exactement l'état ESTABLISHED dans UDP? UDP est apatride.

Voici mon intuition - j'aimerais savoir si ou où c'est incorrect:

La page de manuel me dit ceci:

Etat

Ce module, combiné avec le suivi des connexions, permet d'accéder à la
état de suivi de connexion pour ce paquet.

  --Etat ...

Donc, iptables se souvient essentiellement du numéro de port qui a été utilisé pour le paquet sortant (que pourrait-il se souvenir d'autre pour un paquet UDP?) , Puis autorise le premier paquet entrant qui est renvoyé dans un court laps de temps? Un attaquant devrait deviner le numéro de port (serait-ce vraiment trop dur?)

Pour éviter les conflits:

Le noyau garde la trace des ports bloqués (soit par d'autres services, soit par les paquets UDP sortants précédents), de sorte que ces ports ne seront pas utilisés pour les nouveaux paquets DNS sortants dans le délai? (Que se passerait-il si j'essayais accidentellement de démarrer un service sur ce port dans le délai imparti - cette tentative serait-elle refusée / bloquée?)

Veuillez trouver toutes les erreurs dans le texte ci-dessus :-) Merci,

Chris

Donc, iptables se souvient essentiellement du numéro de port qui a été utilisé pour le paquet sortant (que pourrait-il se souvenir d'autre pour un paquet UDP?),

Je suis à peu près sûr que pour UDP, les ports et adresses source et de destination sont stockés.

Si vous souhaitez inspecter les tables d'état, installez conntrack et / ou netstat-nat.

(Que se passerait-il si j'essayais accidentellement de démarrer un service sur ce port dans le délai imparti - cette tentative serait-elle refusée / bloquée?)

Puisque vous utilisez OUTPUT et INPUT, vous parlez de services locaux. Le port est déjà utilisé Je ne pense pas que votre système vous permette de démarrer un autre service car quelque chose est déjà à l'écoute sur ce port. Je suppose que vous pourriez arrêter le premier service et en démarrer un autre si vous le vouliez vraiment, dans ce cas, la réponse serait probablement à votre service. Ce que le service fait avec le paquet dépend du contenu du paquet et de son service.

NB: Cette réponse a été modifiée.

Malgré ce que disent les pages de manuel, cela ESTABLISHEDsignifie "avec état". Pour UDP, cela signifie simplement (comme vous le suggérez) de se souvenir de chaque paquet UDP sortant (le tuple "src ip, src port dst ip, dst port") pendant un certain temps et de reconnaître ses réponses.

FWIW, mes règles normales pour le trafic DNS seraient quelque chose comme ceci:

# permit any outbound DNS request (NB: TCP required too)
iptables -A OUTPUT -p udp --sport 1024:65535 --dport 53  -j ACCEPT
iptables -A OUTPUT -p tcp --sport 1024:65535 --dport 53  -j ACCEPT

# accept any packet that's a response to anything we sent
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

c'est-à-dire contrôler le trafic sur la OUTPUTchaîne, puis laisser les iptablesmodules d'état gérer tout le reste de la INPUTchaîne.

Voir aussi cette question connexe .

Les développeurs d'iptables ont considéré qu'un état "ÉTABLI" était la situation où des paquets ont été vus dans les deux sens quel que soit le protocole entre deux clients.

l'extension d'état fait partie de conntrack. Le noyau comprend l'état de la table

/proc/net/nf_conntrack

Exemple d'états iptables pour UDP dans la table nf_conntrack du point de vue de l'expéditeur. Imaginons que vous envoyiez une requête DNS sur UDP

udp   17 20 src=192.168.1.2 dst=192.168.1.10 sport=35237 dport=53 \
 [UNREPLIED] src=192.168.1.10 dst=192.168.1.2 sport=53 \
 dport=35237 use=1

Un paquet a été envoyé. Il n'a pas répondu et oh, le tableau contient les données pour ce qui est attendu en retour (le paquet pour la réponse DNS).

udp   17 20 src=192.168.1.2 dst=192.168.1.10 sport=35237 dport=53 \
  src=192.168.1.10 dst=192.168.1.2 sport=53 \
 dport=35237 use=1

La réponse est arrivée, l'indicateur non répondu a disparu, cela signifie que cette connexion UDP est à l'état ÉTABLI pour une petite durée définie dans votre système.