可以使用iptables来防止内部连接吗？

Question

我可以设置iptables规则来防止外部连接。但我们可以使用iptables来防止内部连接吗？例如，我已将iptables设置为防止我的计算机上的端口5555端口，但我的本地应用程序仍然可以在我的计算机上运行时与5555连接。

Answer 1

是的，你可以使用iptables来阻止它。

iptables -A INPUT -d 127.0.0.1 -p tcp --dport 5555 -j DROP 

使用此命令，您将无法从自己的主机连接到自己的服务。然后，你可以使用相对-A append这是-D delete删除的规则：

iptables -D INPUT -d 127.0.0.1 -p tcp --dport 5555 -j DROP 

希望它能帮助。

Answer 2

取决于您如何阻止端口5555，如果您有一个特定的INPUT规则与接口和源和/或目标地址，它将只匹配那些。在你的情况，你可以修改你的规则，只是匹配TCP目标端口5555，它会阻止所有数据包的TCP目的端口5555。如：

iptables -t filter -I INPUT -p tcp --dport 5555 -j DROP

如果你只是要阻止你的内部应用程序和不能碰那么您现有的iptables规则使用传入接口lo用于如：

iptables -t filter -I INPUT -i lo -p tcp --dport 5555 -j DROP

注：如果您使用的目的IP，然后使用整个环回地址范围，而不是仅仅为127.0.0.1例如：

iptables -t filter -I INPUT -d 127.0.0.0/8 -p tcp --dport 5555 -j DROP

在你做任何改动就可以取代-j DROP行动使用-j LOG行动记录和确认TCP连接此规则将匹配。您也可以在不指定-j选项的情况下跳过操作部分，并检查有多少包与iptables -t filter -L -n -v匹配您的规则而不会造成任何伤害。