Cual regla iptable es mas conveniente para el Kernel - port multiport

[Manuel Encarnacion]

Quiero saber cual regla afecta mas la carga del Firewall, aca le dejo un ejemplo.

1 - 

-A FORWARD -i eth1 -s 192.168.0.14 -m state --state NEW -m tcp -p tcp -m multiport --dports 587,25,465,110,995,143,993 -j ACCEPT

2-

-A FORWARD -i eth1 -s 192.168.0.14 -m state --state NEW -m tcp -p tcp --dport 587 -j ACCEPT

-A FORWARD -i eth1 -s 192.168.0.14 -m state --state NEW -m tcp -p tcp --dport 995 -j ACCEPT

-A FORWARD -i eth1 -s 192.168.0.14 -m state --state NEW -m tcp -p tcp --dport 110 -j ACCEPT

-A FORWARD -i eth1 -s 192.168.0.14 -m state --state NEW -m tcp -p tcp --dport 993 -j ACCEPT

-A FORWARD -i eth1 -s 192.168.0.14 -m state --state NEW -m tcp -p tcp --dport 143 -j ACCEPT

-A FORWARD -i eth1 -s 192.168.0.14 -m state --state NEW -m tcp -p tcp --dport 25 -j ACCEPT

-A FORWARD -i eth1 -s 192.168.0.14 -m state --state NEW -m tcp -p tcp --dport 53 -j ACCEPT

-A FORWARD -i eth1 -s 192.168.0.14 -m state --state NEW -m udp -p udp --dport 53 -j ACCEPT

[Richard Couture]

Son casi igual

Puedes optimizar para poner los puertos más popular antes de los que se
usan menor

Debes actualizar tus reglas de -m state --state NEW al nuevo formato de
-m conntrack --ctstate NEW

No debes permitir puerto 110 y 143 que son inseguro y re-emplacerlos con
puertos 993 y 995




Richard

On 07/29/2016 10:53 PM, Manuel Encarnacion wrote:
> Quiero saber cual regla afecta mas la carga del Firewall, aca le
> dejo un ejemplo.
>
>
>

> *1* - -A FORWARD -i eth1 -s 192.168.0.14 -m state --state NEW -m tcp

> -p tcp -m multiport --dports 587,25,465,110,995,143,993 -j ACCEPT
>

> *2-* -A FORWARD -i eth1 -s 192.168.0.14 -m state --state NEW -m tcp

> -p tcp --dport 587 -j ACCEPT -A FORWARD -i eth1 -s 192.168.0.14 -m
> state --state NEW -m tcp -p tcp --dport 995 -j ACCEPT -A FORWARD -i
> eth1 -s 192.168.0.14 -m state --state NEW -m tcp -p tcp --dport 110
> -j ACCEPT -A FORWARD -i eth1 -s 192.168.0.14 -m state --state NEW -m
> tcp -p tcp --dport 993 -j ACCEPT -A FORWARD -i eth1 -s 192.168.0.14
> -m state --state NEW -m tcp -p tcp --dport 143 -j ACCEPT -A FORWARD
> -i eth1 -s 192.168.0.14 -m state --state NEW -m tcp -p tcp --dport 25
> -j ACCEPT -A FORWARD -i eth1 -s 192.168.0.14 -m state --state NEW -m
> tcp -p tcp --dport 53 -j ACCEPT -A FORWARD -i eth1 -s 192.168.0.14 -m
> state --state NEW -m udp -p udp --dport 53 -j ACCEPT
>

--
LinuxCabal Asociación Civil
Ing. Richard Couture
Novell CNE, ECNE, MCNE
HP/Compaq ASE
Tel.: (+52) (333) 145-2638
Cel.: (+52) (044) 333 377-7505
Web: http://www.LinuxCabal.org
E-Mail: r...@linuxcabal.org
Hosted en la nube Cloud Sigma - www.CloudSigma.com

AVISO DE CONFIDENCIALIDAD: Este correo electrónico, incluyendo en su
caso, los archivos adjuntos al mismo, pueden contener información de
carácter confidencial y/o privilegiada, y se envían a la atención única
y exclusivamente de la persona y/o entidad a quien va dirigido. La
copia, revisión, uso, revelación y/o distribución de dicha información
confidencial sin la autorización por escrito de LinuxCabal está
prohibida. Si usted no es el destinatario a quien se dirige el presente
correo, favor de contactar al remitente respondiendo al presente correo
y eliminar el correo original incluyendo sus archivos, así como
cualesquiera copia del mismo. Mediante la recepción del presente correo
usted reconoce y acepta que en caso de incumplimiento de su parte y/o de
sus representantes a los términos antes mencionados, LinuxCabal tendrá
derecho a los daños y perjuicios que esto le cause.

[Manuel Encarnacion]

Ok, Entonces es mejor usar este nuevo formato de -m state -->> -m conntrack --ctstate NEW

Se puede usar -m conntrack --ctstate ESTABLISHED,RELATED ?

--
Has recibido este mensaje porque estás suscrito a un tema del grupo "LinuxCabal" de Grupos de Google.
Para anular la suscripción a este tema, visita https://groups.google.com/d/topic/linuxcabal/vMbzsFgEdVw/unsubscribe.
Para anular la suscripción a este grupo y a todos sus temas, envía un correo electrónico a linuxcabal+...@googlegroups.com.
Para publicar una entrada en este grupo, envía un correo electrónico a linux...@googlegroups.com.
Para ver este debate en la Web, visita https://groups.google.com/d/msgid/linuxcabal/a066535d-db0f-79c4-0cb3-933c34f81bd0%40LinuxCabal.org.
Para obtener más opciones, visita https://groups.google.com/d/optout.

[Richard Couture]

Si, la forma -m state --state es es obsoleto y desaparecerá pronto.
Puedes usar ESTABLISHED,RELATED también con --ctstate.

El orden de las reglas es importante, porque la primera regla que
aplique es la ultima regla que vas a evaluarse con el excepción de
-j LOG




Richard

[Marie Ferrot]

Ciao, io sono un socio e per aiutare coloro che vengono respinti dalle banche,

Faccio particolare di prestito tra € 10.000 a € 5.000.000 se si è in prestito necessità

Si prega di contattare me, così posso dirvi se posso aiutare o no .... grazie e

Dio benedica la gestione dei file.

mail: ferrot...@gmail.com

Whatsapp: +33758016840

[Nemo]

Estimada Marie:

A veces deseo que se pudiera denunciar en gmail como en T! para estos casos

Josafat (Nemo) Verdin
HeadBanger Audio
-audio profesional-

  
Linux/XFCE

--
Has recibido este mensaje porque estás suscrito al grupo "LinuxCabal" de Grupos de Google.
Para cancelar la suscripción a este grupo y dejar de recibir sus mensajes, envía un correo electrónico a linuxcabal+unsubscribe@googlegroups.com.
Para publicar en este grupo, envía un correo electrónico a linux...@googlegroups.com.
Para ver esta conversación en el sitio web, visita https://groups.google.com/d/msgid/linuxcabal/09cbc589-bd23-4990-8e0c-906dbff94fa9%40googlegroups.com.
Para acceder a más opciones, visita https://groups.google.com/d/optout.