linux - IPTables 删除所有输入并在同一语句中接受 ip

Question

我有一个数据库，我只能通过将 firewall.conf 脚本传递给 xmlrpx 脚本来设置 IPTables 配置。然而，当我发送以下语句时，它似乎在 :INPUT DROP 之后断开了我的连接，因此它不会运行 -A INPUT -s [IP] -j ACCEPT。我如何确保打开 IP 并关闭所有其他连接？

*filter
:INPUT DROP
:FORWARD DROP
:OUTPUT ACCEPT

-A INPUT -s [IP] -j ACCEPT
COMMIT

Answer 1

iptables 规则按顺序评估，因此您始终可以为 INPUT 设置一个 ACCEPT 默认策略，并使用 的最后一条规则丢弃或拒绝其他数据包输入，类似于:

*filter
:INPUT ACCEPT
:FORWARD DROP
:OUTPUT ACCEPT

-A INPUT -s [IP] -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-proto-unreachable
COMMIT

在任何情况下，只要使用 REJECT 规则，您就可以了解发生了什么(也许是中间的 NAT？)，而不是静静地丢弃(这在任何情况下都是推荐的)安全)。