2.8.7. iptables と接続追跡

接続 状態に基づいて、サービスへの接続を検査および制限できます。モジュールは、接続追跡 と呼ばれるメソッドを iptables 使用して受信接続に関する情報を保存します。以下の接続状態に基づいてアクセスを許可または拒否できます。
  • NEW : HTTP リクエストなどの新しい接続を要求するパケット。
  • ESTABLISHED : 既存の接続の一部であるパケット。
  • RELATED : 新しい接続を要求しているが、既存の接続の一部であるパケット。たとえば、FTP はポート 21 を使用して接続を確立しますが、データは別のポート(通常はポート 20)で転送されます。
  • INVALID : 接続追跡テーブル内の接続の一部ではないパケット。
プロトコル自体がステートレスである場合でも(UDP など)、すべてのネットワークプロトコルで iptables 接続追跡のステートフル機能を使用できます。以下の例は、接続追跡を使用して、確立された接続に関連するパケットのみを転送するルールを示しています。
~]# iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

このページには機械翻訳が使用されている場合があります (詳細はこちら)。