Long iptables governa eficiência e desempenho

Question

Ao construir uma longa regra de iptables, qual é mais eficiente, usar um longo script por linha ou usar as tabelas? E quanto ao desempenho, isso tem efeito na perda de pacotes e nos pacotes não rastreados?

Exemplo:

1. um script por linha

   iptables -A INPUT -i wlan0 -p tcp --sport 80 -j ACCEPT
   

2. usando as tabelas

   iptables -N table1
   iptables -A INPUT -i wlan0 -j tbl1
   iptables -A table1 -p tcp --sport 80 -j ACCEPT
   

Answer 1

Em seu segundo exemplo, você define uma nova cadeia chamada table1 e roteia pacotes de entrada para a nova cadeia para realizar a correspondência na cadeia.

Esta pode ser uma boa estratégia se, por exemplo, o processamento que você faz nessa cadeia for um pouco pesado e você não quiser submeter todos os pacotes de entrada a ele.

Mas no seu exemplo,

• TODO o tráfego de entrada na interface wlan0 é enviado para a nova cadeia (isso inclui pacotes que fazem parte das conexões estabelecidas!)
• O processamento nessa cadeia é trivial - apenas correspondendo por porta de origem e destino.

Portanto, neste exemplo simples, a complexidade extra de definir uma nova cadeia e encaminhar tudo para ela é desnecessária e redundante e, se você pudesse medir uma diferença de desempenho, provavelmente resultaria em um desempenho mais baixo.

O desempenho realmente não afetará você, a menos que você tenha muito mais regras ou um processamento muito mais pesado.