Je lis ce howto, et il y a quelque chose comme ça:
Nous pouvons autoriser les sessions établies à recevoir du trafic:
$ sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
La règle ci-dessus n'a aucun espace de part et d'autre de la virgule dans ESTABLISHED, RELATED
Si la ligne ci-dessus ne fonctionne pas, vous pouvez vous trouver sur un VPS castré dont le fournisseur n'a pas mis l'extension à disposition. Dans ce cas, une version inférieure peut être utilisée en dernier recours:
$ sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
Existe-t-il une différence significative entre -m conntrack --ctstate
et -m state --state
? Ils disent qu'on ne peut pas travailler, mais ils ne disent pas pourquoi. Pourquoi devrais-je préférer l'un à l'autre?
state
est en fait un aliasconntrack
. Donc ce n'est pas grave. Je suppose qu’à un moment dans l’avenir, ils peuvent êtrestate
complètement retirés, mais pour le moment, peu importe si vous l’utilisez.Réponses:
Je ne prétends pas être un expert des
iptables
règles, mais la première commande utilise l'extension de suivi de connexion (conntrack
), tandis que la seconde utilise l'state
extension.Point de données n ° 1
Selon ce document, l'
conntrack
extension a été remplacéestate
.Point de données n ° 2
Malgré tout, j’ai trouvé cette question-réponse de SF intitulée: Questions sur le pare - feu concernant l’état et la politique? où OP a affirmé avoir posé cette question sur IRC dans # iptables @ freenode. Après en avoir discuté, il est arrivé à la conclusion suivante:
Point de données n ° 3
Enfin, j'ai trouvé ce Q & A SF intitulé: Iptables, quelle est la différence entre -m state et -m conntrack? . La réponse à cette question est probablement la meilleure preuve et le meilleur conseil sur la manière de visualiser l’utilisation de
conntrack
etstate
.extrait
Point de données n ° 4
J'ai trouvé ce fil dans les discussions de [email protected] netfilte / iptables, intitulé: state match is obsolete 1.4.17 , qui dit à peu près qu'il ne
state
s'agit là que d'un aliasconntrack
. les deux circonstances que vous utilisezconntrack
.extrait
Références
la source
Je ne suis pas un expert en netfilter, mais j'ai jeté un œil dans la page de manuel d'iptables-extension et j'ai été surpris.
Donc state fait partie de conntrack et en est une version plus simple si vous avez vraiment besoin - de state et non des fonctionnalités les plus sophistiquées de conntrack
la source