Fonds Linux
  1. Fonds Linux
  3. IPTABLES est lent après avoir ajouté '-A INPUT -j DROP' à la list des règles
Intereting Posts
En cas d'interruption d'un process, une fuite de memory se produit-elle? Le propriétaire ne peut pas lire / proc / $ pid / io Pourquoi mon cpu n'at-il jamais dépassé 60-70% d'utilisation du processeur? Où est le goulot d'étranglement? Comment puis-je déplacer (rsync) une énorme quantité de données de façon fiable pour gérer les interruptions de réseau? `sudo -u user` en ligne shebang Exécution parallèle d'un programme sur plusieurs files Pourquoi un disque dur externe peut-il être très lent? Existe-t-il un moyen de donner à emacs l'aspect et la sensation de KDE? Vérifier le succès de la command dans bash Configuration du sous-réseau Debian Wheezy (proxy, MASQUARADing etc.) Instantanés LVM par rapport au système de files Comment utiliser une variable dans le cadre d'un nom de tableau Où puis-je download le file / usr / dict / packages? fdupes – supprime les files après avoir comparé deux directorys Comment puis-je savoir si je suis dans une session tmux à partir d'un script bash?

IPTABLES est lent après avoir ajouté '-A INPUT -j DROP' à la list des règles

Je commence juste avec iptables et suis tombé sur quelque chose que je ne comprends pas vraiment.

Pour votre information, j'ai suivi les instructions de IptablesHowTo du wiki d'Ubuntu .

Les tables nat et mangle sont vides, je ne travaille qu'avec la table de filter.

Le problème

Si j'ajoute les règles iptables suivantes: 

iptables -A INPUT -p tcp --dport ssh -j ACCEPT iptables -A INPUT -j DROP

… alors j'ai toujours access à ma machine via ssh, mais toutes les commands iptables prennent environ une minute ou deux pour être exécutées. Ce n'est pas un problème de DNS, -n ne le change pas.

La solution

Si je chasse la table et ajoute ces trois règles, tout fonctionne bien: 

 sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -p tcp --dport ssh -j ACCEPT iptables -A INPUT -j DROP

Quelqu'un peut-il m'expliquer pourquoi la première règle a un tel impact sur iptables? Je comprends qu'il permet aux sessions établies de recevoir du trafic, mais pourquoi en ai-je besoin si ssh est ouvert?

Il effectue une search DNS et comme la réponse est bloquée, il faut du time pour expirer.

Essayez de faire iptables -n … pour empêcher la search DNS.

Le conntrack permet de recevoir des connections sur le port éphémère créé pour les réponses aux requêtes lancées par votre machine (dans ce cas, la requête DNS). Sans autoriser les connections ÉTABLIES ou CONNEXES, même les réponses à vos requests sont bloquées.

EG: Si vous tentez d'accéder à un site Web, même si vous pouviez envoyer la request pour le site Web, la réponse du site Web serait bloquée.

Avec 

 iptables -A INPUT -p tcp --dport ssh -j ACCEPT iptables -A INPUT -j DROP

votre machine supprimera chaque package entrant à less qu'il ne provienne du port SSH. C'est une bonne idée si vous voulez que cette machine communique uniquement via SSH. Sinon, vous devez append 

 iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

cela vous assurera que vous allez vous connecter à un server Web plutôt que de vous connecter à quelqu'un.