IP 테이블 :“-p udp --state ESTABLISHED”

발신 DNS를 허용하는 데 자주 사용되는 다음 두 iptables 규칙을 살펴 보겠습니다.

iptables -A OUTPUT -p udp --sport 1024:65535 --dport 53 
   -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -p udp --sport 53 --dport 1024:65535
   -m state --state ESTABLISHED -j ACCEPT

내 질문은 : UDP에서 ESTABLISHED 상태를 어떻게 정확하게 이해해야합니까? UDP는 상태 비 저장입니다.

여기 내 직감이 있습니다-이것이 틀린지 또는 어디인지 알고 싶습니다.

매뉴얼 페이지는 이것을 알려줍니다 :

상태

이 모듈은 연결 추적과 결합 될 때
이 패킷의 연결 추적 상태입니다.

  -상태 ...

따라서 iptables는 기본적으로 나가는 패킷에 사용 된 포트 번호 (UDP 패킷에 대해 무엇을 기억할 수 있습니까?)를 기억 한 다음 짧은 기간 내에 다시 들어오는 첫 번째 들어오는 패킷을 허용합니까? 침입자는 포트 번호를 추측해야합니다 (정말 너무 어려울까요?)

충돌 방지 정보 :

커널은 어떤 포트가 (다른 서비스 또는 이전 발신 UDP 패킷에 의해) 차단되었는지 추적하여 해당 포트가 기간 내에 새로운 발신 DNS 패킷에 사용되지 않습니까? (기간 내에 해당 포트에서 실수로 서비스를 시작하려고 시도하면 어떻게됩니까? 해당 시도가 거부 / 차단됩니까?)

위의 텍스트에서 모든 오류를 찾으십시오 :-) 감사합니다.

크리스

따라서 iptables는 기본적으로 발신 패킷에 사용 된 포트 번호를 기억합니다 (UDP 패킷에 대해 무엇을 기억할 수 있습니까?)

UDP의 경우 소스 및 대상 포트와 주소가 저장되어 있다고 확신합니다.

상태 테이블을 검사하려면 conntrack 및 / 또는 netstat-nat를 설치하십시오.

(기간 내에 해당 포트에서 실수로 서비스를 시작하려고 시도하면 어떻게됩니까? 해당 시도가 거부 / 차단됩니까?)

OUTPUT 및 INPUT을 사용하고 있으므로 로컬 서비스에 대해 이야기하고 있습니다. 포트가 이미 사용 중입니다. 이미 해당 포트에서 무언가를 수신하고 있기 때문에 시스템에서 다른 서비스를 시작할 수 있다고 생각하지 않습니다. 정말로 원한다면 첫 번째 서비스를 중지하고 다른 서비스를 시작할 수 있다고 생각합니다.이 경우 응답이 서비스에 도달 할 것입니다. 서비스가 패킷으로 수행하는 작업은 패킷의 내용과 서비스에 따라 다릅니다.

주의 :이 답변은 편집되었습니다.

매뉴얼 페이지의 내용에도 불구하고 ESTABLISHED"상태 저장"을 의미하는 것으로 보입니다. UDP의 경우 단순히 각 아웃 바운드 UDP 패킷 ( "src ip, src port dst ip, dst port"튜플)을 기억하고 응답을 인식한다는 의미입니다.

FWIW, DNS 트래픽에 대한 일반적인 규칙은 다음과 같습니다.

# permit any outbound DNS request (NB: TCP required too)
iptables -A OUTPUT -p udp --sport 1024:65535 --dport 53  -j ACCEPT
iptables -A OUTPUT -p tcp --sport 1024:65535 --dport 53  -j ACCEPT

# accept any packet that's a response to anything we sent
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

즉, OUTPUT체인의 트래픽을 제어 한 다음 iptables상태 모듈이 INPUT체인의 다른 모든 것을 처리 하도록합니다 .

이 관련 질문 도 참조하십시오 .

iptables 개발자들은 "ESTABLISHED"상태가 두 클라이언트 사이의 프로토콜에 관계없이 패킷이 양방향으로 보이는 상황이라고 생각했습니다.

상태 확장은 conntrack의 일부입니다. 커널은 테이블의 상태를 이해합니다

/proc/net/nf_conntrack

발신자 관점에서 nf_conntrack 테이블의 UDP에 대한 iptable 상태의 예 UDP에서 DNS 쿼리를 보낸다고 상상해 봅시다

udp   17 20 src=192.168.1.2 dst=192.168.1.10 sport=35237 dport=53 \
 [UNREPLIED] src=192.168.1.10 dst=192.168.1.2 sport=53 \
 dport=35237 use=1

패킷이 전송되었습니다. 응답하지 않았으며 테이블에는 반환 될 것으로 예상되는 데이터 (DNS 응답 패킷)가 있습니다.

udp   17 20 src=192.168.1.2 dst=192.168.1.10 sport=35237 dport=53 \
  src=192.168.1.10 dst=192.168.1.2 sport=53 \
 dport=35237 use=1

응답이 도착하고 응답하지 않은 플래그가 없어지면이 UDP 연결이 시스템에 정의 된 짧은 시간 동안 ESTABLISHED 상태에 있음을 의미합니다.