iptables: правильнее указание интерфейса или адреса?

Ну вы в принципе, правильно ответили на вопрос, только "неустойчив к атакам изнутри" звучит как-то заумно.

Возможно, есть отличие в скорости, т.к. проверка адреса ip-пакета производится быстрее, чем проверка интерфейса. То есть я хотел сказать, что отличие в скорости будет, но будет ли оно заметно...

Можете для закрепления параноии указывать и -i, и -s, и еще включить rp_filter на интерфейс eth0.

-i eth0 -s 192.168.1.0/24

я бы так сделал

Да, действительно, я не подумал, что может различаться производительность. Но только вот действительно ли проверка адреса быстрее, чем сверка интерфейса?

> Можете для закрепления параноии указывать и -i, и -s, и еще включить rp_filter на интерфейс eth0.

:)) Мне не столько паранойю успокоить, сколько для себя интересно :)

Относительно скорости проще всего глянуть исходники ядра. В случае IP v4 и 32 разрядной архитектуры (сейчас я точно не скажу т.к. нету доступа), но вроде бы, проверка адреса это 2 логические операции, а сравнение имени интерфейса (длина имени 16 байт) это 8 (или больше?) логических операций ( имя интерфейса и маска имени интерфейса представляется как 4 unsigned int).

Тут я напомно, что интерфейс может быть задан как "-i ppp*" == "все пакеты пришедшие с ppp" --- удобно на ppp-сервере, к которому подключаются несколько клиентов.

В принципе разница во времени проверки правил не существенна, так как, ИМХО, большинство пакетов должно проходить через "-m state --state RELATED,ESTABLISED", и только первые пакеты соединения должны ходит по длинной сложной цепочки типа:

iptables -i eth0 -s 192.168.0.0/24 -j ACCEPT

iptables -i eth0 -j LOGDROP # отдельная цепочка логит и дропает пакет

iptables -s 192.168.0.0/24 -j LOGDROP

Спасибо за такие подробные разъяснения! :)

the_one

ну, вообще-то, *в общем* случае, это проверка разных классов свойств, и тогда вопрос про "правильнее" не имеет смысла. если какие-то пакеты гарантированно приходят с определённого интерфейса, либо, наоборот, нужно гарантировать определённые свойства для конкретных интерфейсов -- то тогда используем "-i"/"-o". если же интерфейс для пакетов заранее не известен/не гарантируется, то тогда придётся использовать адрес.