iptablesのPolicyについて

質問

iptablesのfilterテーブルに
「Chain INPUT」
「Chain FORWARD」
「Chain OUTPUT」

があると思います。

ただ、
I．「Chain INPUT(Policy Accept)」
II．「Chain INPUT (Policy DROP)」
の二種類の指定方法があるのを知りました。

Iは、全通信許可にし、必要に応じて禁止チェインを記述する。
IIは、全通信禁止にし、必要に応じて許可チェインを記述する。

だと考えております。

IとIIどちらでiptablesを作成するほうがいいのでしょうか？
やはり、IIで全通信を塞いで、通信解放していく方が良いのでしょうか？

回答No.1

lovelessjps · ベストアンサー

iptablesの使用目的にもよりますが、一般的な家庭用ルータとして使うつもりなら、デフォルトで全ポートを閉じて、必要に応じて開ける方法が良いでしょう。普通のルータのfilteringの設定も、デフォルトはそのようになっていると思います。

IとIIは排他的な設定ではなくて、二つを組み合わせてポリシーを設定することになります。ややこしいと思いますが、iptablesの解説をしてるサイトはたくさんあると思いますから、manと合わせて熟読した上で設定をactivateしたほうが良いでしょう。

お礼

全閉じ→随時解放が、
よさそうですね。

参考になりました。
ありがとうございます。

回答No.2

noranuko

どのようなポリシーで運用したいか、によりますが
通常のFWなら、基本はIIの前通信禁止、必要に応じて許可するです。

一方、アクセスコントロールが目的(特定の通信だけブロックしたい)なら
Iの基本全許可、特定通信だけブロック、ということになります。

お礼

全閉じ→随時解放が、
よさそうですね。

参考になりました。
ありがとうございます。