IPTables 删除所有输入并在同一语句中接受 ip

Question

我有一个数据库，我只能通过 xmlrpx 脚本传递 firewall.conf 脚本来设置 IPTables 配置。但是，当我发送以下语句时，它似乎在:INPUT DROP 之后断开了我的连接，因此它不会运行-A INPUT -s [IP] -j ACCEPT。如何确保打开 IP 并关闭所有其他连接？

*filter
:INPUT DROP
:FORWARD DROP
:OUTPUT ACCEPT

-A INPUT -s [IP] -j ACCEPT
COMMIT

Answer 1

iptables 规则是按顺序评估的，因此您始终可以为 INPUT 设置一个 ACCEPT 默认策略，并使用INPUT 的最后一条规则丢弃或拒绝其他数据包，例如：

*filter
:INPUT ACCEPT
:FORWARD DROP
:OUTPUT ACCEPT

-A INPUT -s [IP] -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-proto-unreachable
COMMIT

在任何情况下，仅使用REJECT 规则，您就可能对发生的事情有所了解（可能是中间的 NAT？），而不是静默丢弃（在任何情况下，出于安全考虑，建议这样做）。