iptables: diferencia entre paquetes NUEVOS, ESTABLECIDOS y RELACIONADOS

Parte de un firewall en un servidor:

iptables -A INPUT -p tcp --dport 22 -m state NEW --state -m recent --set

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 100 --hitcount 10 -j DROP

Cuando busco en línea, siempre veo que NUEVA se usa en esa regla, pero me cuesta entender por qué no se usan ESTABLECIDO y RELACIONADO.

Me gusta esto :

iptables -A INPUT -p tcp --dport 22 -m state NEW,ESTABLISHED,RELATED --state -m recent --set

iptables -A INPUT -p tcp --dport 22 -m state --state NEW,ESTABLISHED,RELATED -m recent --update --seconds 100 --hitcount 10 -j DROP

¿Alguien puede explicarme cuándo exactamente un NUEVO paquete cambia a ESTABLECIDO y RELACIONADO?

Considere un paquete NUEVO, una llamada telefónica antes de que el receptor haya contestado. Un paquete ESTABLECIDO es su "Hola". Y un paquete RELACIONADO sería si estuviera llamando para informarles sobre un correo electrónico que estaba a punto de enviarles. (El correo electrónico está RELACIONADO).

En caso de que mi analogía no sea tan buena, personalmente creo que las páginas de manual lo manejan bien:

NUEVO - lo que significa que el paquete ha comenzado una nueva conexión, o de lo contrario asociado con una conexión que no ha visto paquetes en ambas direcciones, y

ESTABLECIDO: significa que el paquete está asociado con una conexión que ha visto paquetes en ambas direcciones,

RELACIONADO: significa que el paquete está iniciando una nueva conexión, pero está asociado con una conexión existente, como una transferencia de datos FTP o un error ICMP.

iptables (8) - página de manual de Linux

Asumiendo que tanto el servidor como el cliente sean restrictivos INPUTy abiertos OUTPUT, es decir:

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT

Y de iptables-extensions (8) sobre el ejemplo de FTP en modo activo:

1. NUEVO

NUEVO El paquete ha comenzado una nueva conexión o se ha asociado con una conexión que no ha visto paquetes en ambas direcciones.

El cliente en el puerto 50000(cualquier puerto aleatorio sin privilegios) se conecta al servidor FTP en el puerto 21, el servidor necesitaría al menos esto para aceptar esta conexión entrante:

iptables -A INPUT --dport 21 -m state --state NEW -j ACCEPT

2. ESTABLECIDO

ESTABLECIDO El paquete está asociado con una conexión que ha visto paquetes en ambas direcciones.

Ahora, en el lado del cliente, abrió una conexión de salida de servidor en el puerto 21utilizando un puerto local 50000y necesita los siguientes iptables para permitir que la respuesta a llegar a partir server (21)de client (50000):

sudo iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

3. RELACIONADO

RELACIONADO El paquete está iniciando una nueva conexión, pero está asociado con una conexión existente, como una transferencia de datos FTP o un error ICMP.

Ahora, una vez que se ha establecido la conexión FTP y se va a realizar una conexión de datos, el cliente abrirá un socket de servidor (sí, con el cliente FTP activo se convierte en un servidor para la conexión de datos) en el puerto 60000(según tengo entendido, el cliente marcará este puerto 60000en cuanto RELATEDa la otra conexión desde 50000->21) y enviará este número de puerto al servidor utilizando el PORTcomando FTP . Luego, el servidor FTP abrirá una nueva conexión de su puerto 20a puerto 60000en el cliente, y bueno, el cliente ahora requiere lo siguiente para permitir que esta nueva conexión tenga éxito:

sudo iptables -A INPUT -m state --state RELATED -j ACCEPT

Finalmente, para que esto funcione, debe habilitar el ip_conntrack_ftpmódulo del kernel para permitir que el sistema marque conexiones / paquetes como RELATED( según tengo entendido, no he profundizado demasiado en esto):

modprobe ip_conntrack_ftp