Помогите понять

Дропнувшись на первом правиле, пакет дальше уже не пойдет. Так что второе правило надо разместить в начале.

Спасибо за ваш ответ.

А как же тогда работают правил по умолчанию?

Вот этого я пока не могу понять.

ведь в начале я ставлю

ipt -p input drop 

а уже потом открываю. так же работает. объясните пожалуйста. спасибо

Дропнувшись на первом правиле, пакет дальше уже не пойдет.

С чего бы это? Правила в разных цепочках.

ipt -p input drop

Наверное, все-таки iptables -P INPUT DROP? Если да, то таким образом задается действие, применяемое к пакетам, не подходящим ни под какие явно указанные правила. И при такой политике что-либо DROP'ать в INPUT смысла нет.

Тьфу, черт, не обратил внимание. Верно.

Смотри поправку выше.

Насчет политики по умолчанию - это то, куда пойдет пакет, если он не попал ни на одно из правил (либо если правило вернуло его потом обратно). Так что объявление политики может быть где угодно.

Спасибо за ваш ответ.

Получается. если у меня по умолчанию ipt -p output drop то и что канкретное дропать не имеет смыла? Так как уже цепочка закрытая, правильно? если только открывать.

Только в правилах выше ты собрался дропать в INPUT'е, а политику ставишь на OUTPUT. Но в целом мысль правильная. Только не стоит забывать, что соединение - это не только поток пакетов в одну сторону, а еще и ответы на них. Поэтому просто поставить запретную политику на цепочку и больше ничего не делать не получится.

Спасибо за ваш ответ.

В принципе я понял. Да, в правилах выше я просто свою мысль понимал немного не правильно. Теперь я сделаю так:

$IPT -P INPUT DROP
$IPT -P OUTPUT DROP
$IPT -P FORWARD DROP

$IPT -A INPUT -p tcp --dport 22 -j ACCEPT

$IPT -A OUTPUT -o $WAN_ADAPTER -p udp -m udp -s $SIPNET --dport 5060 -j ACCEPT

$IPT новые правила.

Теперь я сделаю так:

OK, только учти замечание чуть выше и добавь первым правилом в INPUT и в OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT, а то пакеты в одну сторону пойдут, а ответы на них будут DROP'аться.

Спасибо за замечание, я это учел.

Почитайте про таргеты с терминированием и без.

OUTPUT
-s $SIPNET

Сдаётся мне, мил человек, что ты хотел FORWARD, а не OUTPUT.

А можно по подробней? Спасибо.

Цепочка OUTPUT - для пакетов, созданных на этой же машине. Транзитные пакеты с других компов проходят цепочку FORWARD.

Спасибо я вас понял.