LINUX.ORG.RU
решено Форум — Admin  

ct state invalid drop. Зачем, если в самом низу drop На всё?

 , ,


0

1

Пример таблицы фильтр

table ip filter {
	chain INPUT {
		type filter hook input priority filter; policy accept;
		ct state established,related accept
		ct state invalid drop
		ip protocol icmp accept
		drop
	}

Если в самом низу мы блокируем всё, то зачем правило, которое блокирует нелегитимный трафик?


← Docker и организация хранения данных
Балансировка трафика на микротике с двумя провайдерами с BGP →
Ответ на: комментарий от SterhTG

invalid это состояние соединения когда оно вывалилось из обычной схемы работы.

Слышал звон, но не знаю о чем он.

Внизу зачем-то дропается все, корректнее выставить policy drop вверху.

И да и нет, policy drop это к дальней поездке может оказаться. Вероятность того, что вы очистите правила и окажитесь у разбитого корыта «немножко» не нулевая.

anc ★★★★★
()
Ответ на: комментарий от SterhTG

Внизу зачем-то дропается все, корректнее выставить policy drop вверху.

На этом форуме кто-то задавал вопрос по поводу правильности места указания дропа. Я целых пять минут пытался вникнуть в чём разница. Пришёл к выводу что её нет совсем

Dodik
() автор топика

Хотя стАпЭ!
В описанном мною случае, блокировать нелегитим надо! Ибо он попадёт в сеть (на что указал @mky), а если указать policy drop в самом верху, получается что строчка ct state invalid drop будет лишней.
Правильно я понял?

Dodik
() автор топика
Ответ на: комментарий от Anoxemian

Да, кроме счетчика.

Нет уважаемый. Я ради хохмы убрал снизу drop и заменил в самом верху policy accept, на polivy drop. Счётчики успешно продолжают крутиться, но что интересно на правиле ct state invalid counter drop циферки тоже бегут. Отсюда вывод, прям как нас учили в школе: - «От перемены мест слагаемых…»

table ip filter {
	chain INPUT {
		type filter hook input priority filter; policy drop;
		ct state established,related counter packets 91380 bytes 8666206 accept
		ct state invalid counter packets 461 bytes 54511 drop
		ip protocol icmp accept
	}
Dodik
() автор топика
Ответ на: комментарий от mky

Поэтому в случае с nft нужно очищать не цепочку, а таблицу, чтобы никаких правил, никаких цепочек, никаких политик :)

Кардинально конечно, но тоже самое можно сказать и про предков nft «нужно очищать таблицу».

anc ★★★★★
()
← Docker и организация хранения данных
Admin
Балансировка трафика на микротике с двумя провайдерами с BGP →