【iptables 实战】04 高级用法：iptables模块之state扩展

一、场景描述

假设我们内部的主机，想访问新闻网站，即访问其80端口。要想正确地获取到http报文内容。我们对这个网络报文应该这么设置

• 出去的报文，目标端口，80端口，放行
• 进入的报文，源端口，80端口，放行
  这样我们能正常浏览网页了。
  但是，这么做的话，也有安全隐患，如下图所示
  

黑客源报文为80端口的话，可以连接我们的主机。可以借此攻击我们。
这个问题的本质，实际上是，我们只想主动连别人，别人不要主动连上我。我请求目标端口为80的报文，只通过80端口，你给我的响应报文，你只要通过自己的80端口想连上我，我通通拒绝！
于是，流程就变成了下面的效果

二、TCP报文原理解析

TCP连接建立会经历三次握手，三次握手后，才开始正式的通信。
因此，如果黑客通过自己的80端口，想来连我，就会发起第一次握手，因此，如果我们能对这种连接报文拒绝，就能让他无法通过80端口来攻击我。

三、iptables的连接状态

iptables的状态跟踪连接有4种，分别是：NEW、ESTABLISHED、RELATED、INVALID、UNTRACKED具体状态信息如下：

• 1、NEW状态：说明这个数据包是收到的第一个数据包。
• 2、ESTABLISHED状态：只要发送并接到应答，一个数据表的状态就从NEW变为ESTABLISHED，并且该状态会继续匹配这个连接后继数据包。
• 3、RE