Estoy leyendo este tutorial y hay algo como esto:
Podemos permitir que las sesiones establecidas reciban tráfico:
$ sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
La regla anterior no tiene espacios a ambos lados de la coma en ESTABLECIDO, RELACIONADO
Si la línea anterior no funciona, puede estar en un VPS castrado cuyo proveedor no haya puesto a disposición la extensión, en cuyo caso se puede usar una versión inferior como último recurso:
$ sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
¿Hay una diferencia significativa en el trabajo entre -m conntrack --ctstate
y -m state --state
? Dicen que uno puede no funcionar, pero no dicen por qué. ¿Por qué debería preferir uno sobre el otro?
state
realidad es un aliasconntrack
. Entonces no importa. Supongo que en algún momento en el futuro pueden eliminarse porstate
completo, pero por el momento no importa si lo usas.Respuestas:
No pretendo ser un experto en
iptables
reglas, pero el primer comando está haciendo uso de la extensión de seguimiento de conexión (conntrack
) mientras que el segundo está haciendo uso de lastate
extensión.Punto de datos # 1
De acuerdo con este documento, la
conntrack
extensión fue reemplazadastate
.Punto de datos # 2
Aun así, encontré este SF Q&A titulado: ¿ Preguntas sobre el firewall sobre el estado y la política? donde el OP afirmó haber hecho esta pregunta en IRC en # iptables @ freenode. Después de discutirlo allí, llegó a la conclusión de que:
Punto de datos # 3
Finalmente encontré este SF Q&A titulado: Iptables, ¿cuál es la diferencia entre -m state y -m conntrack? . La respuesta de esta pregunta es probablemente la mejor evidencia y consejos sobre cómo ver el uso de
conntrack
ystate
.extracto
Punto de datos # 4
Encontré este hilo en las discusiones [email protected] netfilte / iptables, titulado: state match is obsolescete 1.4.17 , que dice que
state
es solo un alias,conntrack
por lo que realmente no importa cuál uses, en ambas circunstancias que estás usandoconntrack
.extracto
Referencias
fuente
No soy un experto en filtros de red, pero busqué en la página de manual de extensión de iptables y sorpresa, ahí está
Por lo tanto, el estado es parte de conntrack y solo una versión más simple si realmente lo necesita: estado y no una de las características más sofisticadas de conntrack
fuente