web-dev-qa-db-ja.com

スポーツとdportとは何ですか？

システムでiptablesを使用してインターネットを停止したいのですが、どうすればよいですか？

iptables -A INPUT -p tcp --sport 80 -j DROP

または

iptables -A INPUT -p tcp --dport 80 -j DROP？

linuxsecurityiptablesfirewall
11
Chankey Pathak

現実は、2つの異なる質問をしていることです。

  • --sportは--source-portの略です

  • --dportは--destination-portの略です

また、インターネットは単純にHTTPプロトコルではなく、通常はポート80で実行されます。HTTPリクエストをブロックする方法を尋ねていると思います。これを行うには、アウトバウンドチェーンで80をブロックする必要があります。

iptables -A OUTPUT -p tcp --dport 80 -j DROP

ポート80に向かうすべてのアウトバウンドHTTPリクエストをブロックします。これにより、SSL、8080（alt http）、またはその他の奇妙なポートがブロックされることはありません。より深いパケットインスペクションでL7フィルタリングが必要な種類のことを実行します。

21
xenoterracide

@xenoterracideの回答を拡張するためにiptablesの詳細については、マンページiptables(8)（タイプ_man 8 iptables_）で読むことができますが、_--dport_または_--sport_は見つかりません。これらのオプションは、マルチポート、tcp、udpなどのセクションのiptables-extensions(8)にリストされています。これは興味深いかもしれません。

「システムでインターネットを停止」するには、_Sudo ifdown <INTERNET FACING INTERFACE>_または_Sudo ip link set <INTERNET FACING INTERFACE> down_、たとえば_Sudo ip link set eth0 down_を使用してネットワークインターフェイスをオフにするだけで済みます。これを永続的にするには、/ etc/network/interfaces（Ubuntu、Debian ...）または/ etc/sysconfig/network-scripts/ifcfg-（RHEL、SLES、CentOS、Oracle Linux、Fedoraの場合）を確認する必要があります...）または、ネットワークマネージャーの設定など、使用するもの。もちろんこれにより、HTTPベース以外の接続であっても「インターネット」との接続が切断され、iptablesを使用してOSI/ISOレイヤー2トラフィックを処理することによるパフォーマンスへのわずかな影響が回避されます。

10
AdamKalisz