linux - iptables将所有转发规则放在prerouting中

Question

我对 iptables 的安全性有疑问。

向 FORWARD 链提供 ACCEPT 策略安全吗？我的意思是，如果数据包到达那里，它已经通过 PREROUTING 表到达，并且在 PREROUTING 中，如果您“喜欢”，您只能更改数据包的目标 ip。

所有进入 FORWARD 的数据包都与 PREROUTING 中的规则之一相匹配，对吗？

Answer 1

如果数据包与您的 PREROUTING 链中的任何规则都不匹配，则无法阻止它到达您的 FORWARD 链，除非您将默认的 PREROUTING 策略设置为 DROP。

如果数据包的目标地址是属于您主机上的本地接口(interface)的地址，则数据包仅会进入 INPUT 链。否则，它们会进入 FORWARD 链，如果它们通过该链并且启用了 ip_forward sysctl，您的系统将根据您的路由表转发它们。

您的系统可能会收到并非发往本地接口(interface)的数据包。这就是基本路由的工作原理:当您的系统想要联系位于 8.8.8.8 的 Google dns 服务器时，数据包会发送到您的本地默认网关，该网关会接收并路由它们，即使目标地址完全在其他地方。

您的系统可能会显式路由其所连接的物理网络或系统上托管的容器或虚拟机的流量。所有这些都涉及您的系统接受和转发与本地接口(interface)不匹配的数据包。