Existe alguma diferença entre essas duas opções de configuração?

Question

Existe alguma diferença real entre

iptables -P FORWARD DROP

e

net.ipv4.ip_forward = 0

?

Eu sei que um é um comando de firewall enquanto o outro é uma opção do kernel. Mas:

1. Eu não sei se net.ipv4.ip_forward = 0 é imposto pelo netfilter ou pelo kernel diretamente.
2. Não sei se existe alguma sobrecarga associada a iptables -P FORWARD DROP em comparação com net.ipv4.ip_forward = 0 .
3. Não consegui encontrar nenhuma referência indicando claramente que essas duas opções são realmente idênticas em seus efeitos. Foi o que eu entendi, mas não sou especialista em netfilter / kernel.

Em resumo, existe alguma diferença real entre esses dois comandos?

    

Answer 1

Quando você desabilita o encaminhamento de pacotes entre interfaces, a cadeia FORWARD é ignorada. Portanto, em relação ao desempenho, que é onde sua pergunta é direcionada, não faz diferença alguma.

Você pode verificar isso:

iptables -L -vnx

HTH