iptables 接続状態

iptables は、サービスへの接続の検査と制限を接続状態に基いて実施できます。iptables では、接続追跡(connection tracking)と呼ばれる方法で、着信接続の情報を保持しています。

概要

下記の接続状態に基いて、アクセスの許可や拒否ができます。

接続状態
接続状態	説明
NEW	HTTP 要求などの新規接続を要求するパケットです。
ESTABLISHED	既存の接続の一部であるパケットです。
RELATED	新規接続を要求しているが、既存の接続の一部であるパケットです。 ftp は、コントロール用に21番ポートを使用しますが、データは、20番ポートを使用します。
INVALID	接続ついてきテーブルの接続の一部ではないパケットです。

プロトコル自体がステートレスであっても(UDPなど)、iptables の接続追跡は、ステートフルな機能を任意のネットワークプロトコルに使用できます。

以下の設定では、既存の接続と関連付けられたパケットのみを扱えます。

iptables -A INPUT -m state ESTABLISHED,RELATED -i ACCEPT