default policy & iptables

Един интересен въпрос ми хрумна, кое е по добрият вариант:

iptables -P INPUT DROP
<rules>

или

<rules>
iptables -A INPUT -j DROP
?


И двата варианта имат еднакъв резултат, въпроса е по-скоро има ли някой от тах предимство пред другия, например от гледна точка на време за изпълнение?

pomisli kfo se sluchva ...
idva paket
trugva po chains
ako mach nakoi chain pravi tova koeto e ukazano v chaina
ako niama mach produlzava kam sledvastia chain
i tuka idva "razlikata"
1. iptables -P INPUT DROP - niama poveche chains i zema default /drop/
2. iptables -A INPUT -j DROP - ima mach na chain sledovatelno go ispalniava /drop/

DrFrancky

Ами да, не ми казваш нищо ново :)
Това го знам, въпроса който ме мъчи в момента е дали по някаква причина правило във веригата се изпълнява по-бързо отколкото default правилото за съответната верига, или обратното. В единия случай има едно правило във веригата повече отколкото в другия, това дали е предимство или недостатък?

ti da ne mislis che iptables gi prai tia nesta ?

ia pak se zamisli

DrFrancky

Пак се замислих... Пак не ми казваш нищо ново :)

koe ne ti e iasno stom si se zamislil ?
pravis li razlika mezdu iptables i netfilter ?
aide pak se zamisli
posle procheti za netfilter framework-a i dano da ti se iziasnat nestata

nakratko:
kogato ot network-a doide paket toi minava prez niakolko "hooks"
na tezi hooks moze da se zakachi niakoi kernel modul /ili kernel compiled code/ koito da se izvikva. seki modul registrira niakakvi funkcii kato se okazva i priority. kogato paketa doide v niakoi ot tezi hooks se izvikvat modulite koito izvikvat funkciite po reda na tehnite prioritita. imas 3 mesta na koito mozes da pravis "filter" - IN, FWD, OUT. siaka edna funkcia ima nekolko nesta koito moze da pravi s paketite. edno ot tiah e DROP.
kogato napravis -P INPUT DROP iptables prosto "zabiva" kato posledno pravilo DROP. sustoto pravi i -j DROP kato last pravilo
t.e. za netfilter e EDNO I SUSTO !
prosto iptables /user land chasta ot netfilter/ ima "dosta" "gufkavi" opcii

a zasto e taka .. ami zastoto -P mozes da dades samo na "build" in chain a -j drop na seki chain
i ako iskame da sme tochni pravilno e :
-P INPUT DROP
a kogato iskas da bloknes nesto v drug chain pravis -j DROP

DrFrancky

Т.е. едно и също е. Това ме интересуваше, 10x :)