可以使用iptables來防止內部連接嗎？

Question

我可以設置iptables規則來防止外部連接。但我們可以使用iptables來防止內部連接嗎？例如，我已將iptables設置爲防止我的計算機上的端口5555端口，但我的本地應用程序仍然可以在我的計算機上運行時與5555連接。

Answer 1

是的，你可以使用iptables來阻止它。

iptables -A INPUT -d 127.0.0.1 -p tcp --dport 5555 -j DROP 

使用此命令，您將無法從自己的主機連接到自己的服務。然後，你可以使用相對-A append這是-D delete刪除的規則：

iptables -D INPUT -d 127.0.0.1 -p tcp --dport 5555 -j DROP 

希望它能幫助。

Answer 2

取決於您如何阻止端口5555，如果您有一個特定的INPUT規則與接口和源和/或目標地址，它將只匹配那些。在你的情況，你可以修改你的規則，只是匹配TCP目標端口5555，它會阻止所有數據包的TCP目的端口5555。如：

iptables -t filter -I INPUT -p tcp --dport 5555 -j DROP

如果你只是要阻止你的內部應用程序和不能碰那麼您現有的iptables規則使用傳入接口lo用於如：

iptables -t filter -I INPUT -i lo -p tcp --dport 5555 -j DROP

注：如果您使用的目的IP，然後使用整個環回地址範圍，而不是僅僅爲127.0.0.1例如：

iptables -t filter -I INPUT -d 127.0.0.0/8 -p tcp --dport 5555 -j DROP

在你做任何改動就可以取代-j DROP行動使用-j LOG行動記錄和確認TCP連接此規則將匹配。您也可以在不指定-j選項的情況下跳過操作部分，並檢查有多少包與iptables -t filter -L -n -v匹配您的規則而不會造成任何傷害。