From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <mithraen@freesource.info>
Date: Sun, 30 Nov 2003 11:04:51 +0300
From: =?koi8-r?B?5MXOydMg883J0s7P1w==?= <mithraen@freesource.info>
To: community@altlinux.ru
Message-ID: <20031130080451.GD13404@localhost.localdomain>
References: <20031126125615.GB25325@localhost.localdomain>
	<3FC4C09B.7000903@ricom.ru>
	<20031127030251.GF30675@localhost.localdomain>
	<1695420140.20031127103015@gnk.krasnoyarsk.ru>
	<20031127040452.GA1581@localhost.localdomain>
	<20031127080709.GH10424@osdn.org.ua>
	<20031127114909.GB20228@localhost.localdomain>
	<20031128215946.GA10424@osdn.org.ua>
	<20031129050032.GA18936@localhost.localdomain>
	<20031129102944.GK10424@osdn.org.ua>
Mime-Version: 1.0
Content-Type: text/plain; charset=koi8-r
Content-Disposition: inline
Content-Transfer-Encoding: 8bit
In-Reply-To: <20031129102944.GK10424@osdn.org.ua>
Subject: [Comm] Re: Linux Gate
X-BeenThere: community@altlinux.ru
X-Mailman-Version: 2.1.3
Precedence: list
Reply-To: community@altlinux.ru
List-Id: <community.altlinux.ru>
List-Unsubscribe: <listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=unsubscribe>
List-Archive: </pipermail/community>
List-Post: <mailto:community@altlinux.ru>
List-Help: <mailto:community-request@altlinux.ru?subject=help>
List-Subscribe: <listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=subscribe>
X-List-Received-Date: Sun, 30 Nov 2003 11:02:27 -0000
Archived-At: <http://lore.altlinux.org/community/20031130080451.GD13404@localhost.localdomain/>
List-Archive: <http://lore.altlinux.org/community/>
List-Post: <mailto:mandrake-russian@linuxteam.iplabs.ru>

On Sat, Nov 29, 2003 at 12:29:44PM +0200, Michael Shigorin wrote:
 >>>>> -A INPUT -m state --state INVALID,NEW -j DROP
 >>>> Хм. Зачем?
 >>> Затем, чтоб народное творчество обламывалось почаще.
 >> ?
 > Ну, всякие неправильные самопальные IP-пакеты с левыми
 > заголовками.

Тогда NEW зачем?

У меня обычно первое правило в цепочке это "пропускать по установленым
соединениям", второе -- "дропать все INVALID пакеты". Дальше уже в
зависимости от ситуации. INVALID иногда не только дропаю, но ещё и в лог
отправляю.

 > >  > >  >> /sbin/iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
 > >  > >  > Это если и изнутри не все выпускать, тогда осмысленно.
 > >  > >  > И то как раз тогда -- не всегда =)
 > >  > > А почему как раз тогда не всегда?
 > >  > В смысле "как раз тогда -- не всегда ACCEPT" :-)
 > > Я понял. Но не понял почему и зачем не делать ACCEPT на уже
 > > установленые соединения?
 > Этого и я не понял.  А добавил -- насчет того, _почему_ им
 > позволять или нет быть установленными.

Ясно.
 
-- 
С уважением, Денис

http://freesource.info