V2EX = way to explore
V2EX 是一个关于分享和探索的地方
Sign Up Now
For Existing Member Sign In
This topic created in 1267 days ago, the information mentioned may be changed or developed.
如题，我试了一下，貌似由于 IP 层没法区分是服务端发出的还是客户端发出的，所以屏蔽所有端口后，自身也不上了网了。TCP 有没有什么 flag 能区分一下
Supplement 1 · Nov 18, 2022
解决了，加了`--syn`选项，就是只屏蔽 TCP 连接握手的包。
参考 https://explainshell.com/explain?cmd=iptables+-A+INPUT+-p+tcp+-m+tcp+--syn+-j+REJECT
参考 https://explainshell.com/explain?cmd=iptables+-A+INPUT+-p+tcp+-m+tcp+--syn+-j+REJECT
 |
1
yc8332 Nov 18, 2022
通信需要端口，不管是发出还是接收。
|
 |
2
nodesolar Nov 18, 2022
按 input /ouput 做屏蔽呗
|
 |
3
ihipop Nov 18, 2022 via Android  1
这还不简单，如果不想要客户端能访问服务器，就禁止入站（或者入站握手）呗。
|
 |
4
baobao1270 Nov 18, 2022
废话，IP 层当然没法判断
但是你试了一下就发现，显然是不可能的，是你的操作方法有错误。 |
 |
5
kaedeair Nov 18, 2022
默认 intput reject 然后配置 tcp 状态为 related 和 established 的 accpt
|
 |
6
sujin190 Nov 18, 2022
#5 说得对，不但 tcp 有连接 established 的状态，udp 也有，iptables -m 参数可以设置匹配这个，服务器上网先走 output 表不 reject 发 sync ，然后就有连接状态可以匹配继续放行
|
 |
7
hxysnail Nov 18, 2022
把 lo 以外的入站握手 drop 掉就行啦
|
 |
8
PbCopy111 Nov 18, 2022
需求说错了，先说屏蔽所有端口的目的。
|
 |
9
koebehshian OP @PbCopy111 是嵌入式上，开发路由器，但不用 openwrt(为了省一个芯片，直接在通信模块中实现路由功能）
|
 |
10
JohnBull Nov 24, 2022
最好不要直接用--syn ，改用 -m conntrack ，拦截 NEW 状态，放过 ESTABLISHED,RELATED 状态。
因为有些协议就是要派生出反向连接的。 |
Select Language