linux nat regras diferentes

Question

eth0 (192.168.1.0/24) --> wan
eth2 (192.168.10.0/24) --> lan0

Eu uso essas regras para ativar o NAT no meu gateway Linux:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -i eth2 -o eth0 -j ACCEPT
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

por que, em algum site on-line, eu li algumas regras como essas?

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -s 192.168.10.0/24 -d 0/0 -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -d 192.168.10.0/24 -j ACCEPT
iptables -A FORWARD -s 192.168.10.0/24 -j ACCEPT
iptables -A FORWARD -d 192.168.10.0/24 -j ACCEPT

    

Answer 1

Se você usar estas duas linhas:

iptables -A FORWARD -s 192.168.10.0/24 -j ACCEPT
iptables -A FORWARD -d 192.168.10.0/24 -j ACCEPT

Então, esses dois não têm valor no que diz respeito à segurança:

iptables -A FORWARD -s 192.168.10.0/24 -d 0/0 -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -d 192.168.10.0/24 -j ACCEPT

No começo você tem iptables -A FORWARD -s 192.168.10.0/24 -d 0/0 -j ACCEPT , isso fará com que iptables encaminhando pacotes originados da 192.168.10.0/24 sub-rede destinada a 0/0 significando todas as outras redes. Mais uma vez mais tarde você tem iptables -A FORWARD -s 192.168.10.0/24 -j ACCEPT , na verdade, na prática, essas duas regras significam o mesmo.

Para iptables -A FORWARD -m state --state ESTABLISHED,RELATED -d 192.168.10.0/24 -j ACCEPT , iptables aceitará e encaminhará qualquer pacote destinado a 192.168.10.0/24 apenas se o pacote for originado de uma fonte ESTABLISHED ou RELATED . Posteriormente você tem alguma regra conflitante iptables -A FORWARD -d 192.168.10.0/24 -j ACCEPT que encaminhará todos os pacotes destinados a 192.168.10.0/24 , tornando a primeira regra inútil, já que qualquer pacote destinado a 192.168.10.0/24 , que não corresponder à primeira regra, corresponderá a este e o pacote será encaminhado não importa o que.