LINUXのiptablesについて

質問

通常LINUXのコマンドライン上で新たにiptablesルールを作り直すとき
# iptablse -F
# iptables -P INPUT DROP
# iptables -P OUTPUT ACCEPT
# iptables -P FORWARD DROP
# service iptables save

と上記のようにコマンドを叩いて、あたらしいデフォルトのチェインポリシーを
事前に定義するもののようです。

この後【/etc/sysconfig/iptablse】というファイルを覗いてみると、

# Generated by iptables-save v1.4.7 on Wed Sep 5 06:20:56 2012
*filter
:INPUT DROP [1:151]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
COMMIT
# Completed on Wed Sep 5 06:20:56 2012

上記のような内容がiptablesに記述されていると思います。
おそらくこれに特定の条件のみ　パケットを受信するportを開放したりする記述を追記していくものと存じます。
たとえば
-A INPUT -p tcp --dport 22 -J ACCEPT　などと記述して他ホストからのssdポートへのアクセスを
許可するといったかんじですね。

ただ冒頭のデフォルトのポリシーの設定に関しては、やはりコマンドライン上で
# iptablse -F
# iptables -P INPUT DROP
# iptables -P OUTPUT ACCEPT
# iptables -P FORWARD DROP
# service iptables save
このようなコマンドを叩いて設定するのが普通なのでしょうか？
例えば、デフォルトポリシーを直接　ファイルに記述するといったことはしないのでしょうか？
=================================================================
*filter
#以下で、デフォルトのフィルタポリシーを設定する
-P INPUT DROP
-P OUTPUT ACCEPT
-P FORWARD DROP
COMMIT
=================================================================
上記のように、直接iptablesの書式で書き込むように・・。

気になった理由としてはコマンドラインでデフォルトポリシーを指定した場合と
コマンド　-Aをつかって任意のportを開放する指定をした時の記述が異なることがきになっているのです。
デフォルトポリシーの記述は

:INPUT DROP [1:151]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]

上記のような 行頭にコロンがついたような記述になっているのに
-A INPUT -p tcp --dport 22 -J ACCEPT
上記のような -Aコマンドを叩いたときは、そのままコマンドがiptablseファイルに記述されているように思います。

:INPUT DROP [1:151]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]

-P INPUT DROP
-P OUTPUT ACCEPT
-P FORWARD DROP

上記の二種類の書き方を直接iptablesに記述してもキチンと動作します。
なぜ、上記のようにデフォルトポリシーに関しては二種類の書き方が存在するのでしょうか？

回答No.1

Wr5 · ベストアンサー

>ただ冒頭のデフォルトのポリシーの設定に関しては、やはりコマンドライン上で
># iptablse -F
># iptables -P INPUT DROP
># iptables -P OUTPUT ACCEPT
># iptables -P FORWARD DROP
># service iptables save
>このようなコマンドを叩いて設定するのが普通なのでしょうか？

人による…としか。
動作を確認しながらポリシーを作成する場合はそのようになると思われます。

>上記のような -Aコマンドを叩いたときは、そのままコマンドがiptablseファイルに記述されているように思います。

iptables-saveとiptables-restoreの仕様…としか。
iptables-restoreのソースを軽く見てみましたが…

>上記のような 行頭にコロンがついたような記述になっているのに

設定内容は一緒…のようです。
[]で囲まれた部分にはカウンタが記録されているようです。
# /* Packet and byte counters */とコメントされた64ビットのカウンタ…らしいというところまでしか見ていませんが。

>上記の二種類の書き方を直接iptablesに記述してもキチンと動作します。
>なぜ、上記のようにデフォルトポリシーに関しては二種類の書き方が存在するのでしょうか？

上記のカウンタを引き継ぐかどうか…の違いっぽいです。
# /etc/sysconfig/ipyables-configにIPTABLES_SAVE_COUNTERって項目があるようです。(CentOS6.3で)
# このカウンタが上記のカウンタと同一なのか…については未確認です。(iptables-saveのソースにあるんでしょうけどね…)

ちなみに、私はiptablesの設定は直接/etc/sysconfig/iptablesを編集して、
適用は service iptables restart でやっていますね。(condrestartでもいいんでしょうが…)