Iptables:“ -p udp - สถานะถูกสร้างขึ้น”

ลองดูกฎ iptables ทั้งสองนี้ซึ่งมักจะใช้เพื่ออนุญาต DNS ขาออก:

iptables -A OUTPUT -p udp --sport 1024:65535 --dport 53 
   -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -p udp --sport 53 --dport 1024:65535
   -m state --state ESTABLISHED -j ACCEPT

คำถามของฉันคือฉันควรเข้าใจสถานะ ESTABLISHED ใน UDP อย่างไร UDP ไม่มีสถานะ

นี่คือสัญชาตญาณของฉัน - ฉันอยากรู้ว่าที่ไหนหรือสิ่งนี้ไม่ถูกต้อง:

หน้าคนบอกฉันนี้:

สถานะ

โมดูลนี้เมื่อรวมกับการติดตามการเชื่อมต่อจะอนุญาตให้เข้าถึง
สถานะการติดตามการเชื่อมต่อสำหรับแพ็คเก็ตนี้

  --สถานะ ...

โดยทั่วไปแล้ว iptables จะจำหมายเลขพอร์ตที่ใช้สำหรับแพ็คเก็ตขาออก(จะมีสิ่งอื่นใดที่จำได้สำหรับแพ็กเก็ต UDP อีกครั้ง)แล้วอนุญาตให้แพ็กเก็ตขาเข้าแรกที่ส่งกลับภายในระยะเวลาอันสั้นได้หรือไม่ ผู้โจมตีจะต้องเดาหมายเลขพอร์ต(นั่นจะยากเกินไปหรือเปล่า)

เกี่ยวกับการหลีกเลี่ยงความขัดแย้ง:

เคอร์เนลติดตามว่าพอร์ตใดที่ถูกบล็อก (ไม่ว่าจะโดยบริการอื่น ๆ หรือโดยแพ็คเก็ต UDP ขาออกก่อนหน้า) ดังนั้นพอร์ตเหล่านี้จะไม่ถูกใช้สำหรับแพ็กเก็ต DNS ขาออกใหม่ภายในกรอบเวลาหรือไม่ (จะเกิดอะไรขึ้นถ้าฉันพยายามเริ่มบริการบนพอร์ตนั้นโดยไม่ตั้งใจภายในระยะเวลา - ความพยายามนั้นจะถูกปฏิเสธ / บล็อกหรือไม่)

โปรดหาข้อผิดพลาดทั้งหมดในข้อความด้านบน :-) ขอบคุณ

คริส

ดังนั้นโดยทั่วไป iptables จะจำหมายเลขพอร์ตที่ใช้สำหรับแพ็คเก็ตขาออก (มีอะไรอีกบ้างที่จำได้สำหรับแพ็กเก็ต UDP)

ฉันค่อนข้างมั่นใจสำหรับ UDP ที่มาและพอร์ตปลายทางและที่อยู่จะถูกเก็บไว้

หากคุณต้องการตรวจสอบตารางสถานะติดตั้ง conntrack และ / หรือ netstat-nat

(จะเกิดอะไรขึ้นถ้าฉันพยายามเริ่มบริการบนพอร์ตนั้นโดยไม่ตั้งใจภายในระยะเวลา - ความพยายามนั้นจะถูกปฏิเสธ / บล็อกหรือไม่)

เนื่องจากคุณใช้ OUTPUT และ INPUT คุณกำลังพูดถึงบริการในท้องถิ่น พอร์ตนี้ถูกใช้ไปแล้วฉันไม่เชื่อว่าระบบของคุณจะอนุญาตให้คุณเริ่มบริการอื่นเนื่องจากมีบางอย่างกำลังฟังพอร์ตอยู่แล้ว ฉันเดาว่าคุณสามารถหยุดบริการแรกและเริ่มบริการอื่นได้หากคุณต้องการจริงๆในกรณีนี้การตอบสนองอาจจะไปถึงบริการของคุณ สิ่งที่บริการทำกับแพ็คเก็ตขึ้นอยู่กับเนื้อหาของแพ็คเก็ตคืออะไรและบริการมันคืออะไร

หมายเหตุ: คำตอบนี้ได้รับการแก้ไข

แม้จะมีสิ่งที่หน้าคนพูด แต่ESTABLISHEDดูเหมือนจะหมายถึง "stateful" สำหรับ UDP นั้นหมายถึง (ตามที่คุณแนะนำ) จดจำแต่ละแพ็กเก็ต UDP ขาออก ("src ip, src พอร์ต dst ip, dst พอร์ต" tuple) ในขณะที่และตระหนักถึงการตอบสนองของมัน

FWIW กฎปกติของฉันสำหรับการรับส่งข้อมูล DNS จะเป็นดังนี้:

# permit any outbound DNS request (NB: TCP required too)
iptables -A OUTPUT -p udp --sport 1024:65535 --dport 53  -j ACCEPT
iptables -A OUTPUT -p tcp --sport 1024:65535 --dport 53  -j ACCEPT

# accept any packet that's a response to anything we sent
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

คือการควบคุมปริมาณการใช้งานบนOUTPUTสายโซ่แล้วปล่อยให้iptablesโมดูลรัฐจัดการทุกอย่างอื่นในINPUTห่วงโซ่

ดูคำถามที่เกี่ยวข้องนี้ด้วย

ผู้พัฒนา iptables ได้พิจารณาแล้วว่าสถานะ "ESTABLISHED" เป็นสถานการณ์เมื่อแพ็กเก็ตถูกมองเห็นได้ทั้งสองทิศทางไม่ว่าโปรโตคอลระหว่างไคลเอนต์ทั้งสองจะเป็นอย่างไร

ส่วนขยายสถานะเป็นส่วนหนึ่งของ conntrack เคอร์เนลเข้าใจสถานะจากตาราง

/proc/net/nf_conntrack

ตัวอย่างของสถานะ iptable สำหรับ UDP ในตาราง nf_conntrack จากมุมมองของผู้ส่ง ลองจินตนาการว่าคุณส่งแบบสอบถาม DNS ใน UDP

udp   17 20 src=192.168.1.2 dst=192.168.1.10 sport=35237 dport=53 \
 [UNREPLIED] src=192.168.1.10 dst=192.168.1.2 sport=53 \
 dport=35237 use=1

ส่งแพ็คเก็ตแล้ว มันยังไม่ได้รับการตอบสนองและโอ้ตารางมีข้อมูลสำหรับสิ่งที่คาดว่าจะได้รับคืน (แพ็กเก็ตสำหรับคำตอบ DNS)

udp   17 20 src=192.168.1.2 dst=192.168.1.10 sport=35237 dport=53 \
  src=192.168.1.10 dst=192.168.1.2 sport=53 \
 dport=35237 use=1

การตอบกลับจะมาถึงการตั้งค่าสถานะที่ไม่ตอบกลับหมายถึงการเชื่อมต่อ UDP นี้อยู่ในสถานะ ESTABLISHED ในเวลาที่กำหนดไว้ในระบบของคุณ