关于 iptables 的问题

[Counter]

开机成功执行脚本 iptables.sh ，脚本内容如下：
iptables -F
iptables -X
iptables -Z
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

这里并未开启 SSH 端口，为何可以 SSH 连接？哪里出问题了吗？

[ayouwei]

以前没有接触过 net_speeder ， 刚才看了一下 net_speeder 的原理， 我理解问题是出在 net_speeder 的机制上， 如果说错了请大家打脸。

net speeder 原理就是把网卡收到或者发出去的包根据规则过滤出来复制一份再写入协议栈；

在你这个场景下， 收到的 ssh syn 包会被复制。 原始的 syn 包经过协议栈， 而复制的包是通过了的。

原因就是复制出来的包是本地复制的， 所以再进入协议栈时是通过 loopback 进入；

所以先匹配到 iptables -A INPUT -i lo -j ACCEPT

而之后的包无论是匹配 state 还是匹配 loopback interface 都会被放过；

[Counter]

@ayouwei 应该是这样没错，复制的包被当做本地的包处理了
另外基于 iptables 的 UFW 也有此问题 https://www.v2ex.com/t/244523

[Counter]

@ayouwei
@ryd994
把 iptables -A INPUT -i lo -j ACCEPT 分拆为两条
iptables -A INPUT -i lo -p tcp ! --syn -j ACCEPT
iptables -A INPUT -i lo -p udp -j ACCEPT
搞定了，哈哈

[ayouwei]

恭喜，但是你这样会有个问题，就是无法再访问本地服务了。拒掉前先放过本地流量
-A INPUT -i lo -p tcp --src 127.0.0.1/8 -j ACCEPT
-A INPUT -i lo -p tcp ! --syn -j ACCEPT

[Mithrandir]

看了下 net_speeder ，感觉并没有使用这个的必要啊

[helihuo]

@ayouwei 没用。我试过了，你这招照样能连上

[Counter]

@helihuo 我现在直接把这条 iptables -A INPUT -i lo -j ACCEPT 去掉，然后再配合协议（ tcp/udp ）或端口（--sport/--dport ）开白名单，毕竟不是全部流量都需要 net_speeder

[Counter]

@helihuo 说错，不是所有流量都需要 lo

[Devin]

@Counter https://www.v2ex.com/t/251740