用多少眼泪才能让你相信 发表于 2025-1-11 20:09:05

conntrack iptables 安全组

centos 安装yum install conntrack-tools
1. conntrack状态
NEW: 新建连接（第一次包）。
ESTABLISHED: 已建立连接，正在传输数据。
RELATED: 与已有连接相干的连接，如 FTP 数据连接。
INVALID: 无效连接，无法识别或不完整。
UNTRACKED: 未被跟踪的连接。

2. 常见运维操作
sysctl net.netfilter.nf_conntrack_count
sysctl  nf_conntrack_max
查看会话
conntrack -L  [-p icmp/tcp/udp] 
#设置最大最大连接数目
sysctl -w net.netfilter.nf_conntrack_max=131072
#写入配置文件
echo "net.netfilter.nf_conntrack_max=131072" | tee -a /etc/sysctl.conf
sysctl -p
 
3. 可观测 
监控conntrack会话表
4. 实战
用iptables +conntrack可实现安全组的单向控制功能


[*] state: 假设服务器 A(10.10.0.1)配置的 iptables 规则为入访全不通，即 INPUT 链全 DROP，出访全通，即 OUTPUT 链全 ACCEPT。另外一台服务器 B（10.10.0.100）和 A 在同一个二层网络，则显然 B ping 不通 A， A也不能 ping 通 B ，因为 A 的包有去无回，即 A 的 ICMP 包确实能到 B，但 B 的回包却被 A 的INPUT DROP 了。通过state模块可以完美解决这个题目，指定 state 为conntack的 ESTABLISHED状态,能够匹配已经建立ct连接的回包，添加 -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT规则即可。

 

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页: [1]
查看完整版本: conntrack iptables 安全组