搜索

18.12.11. 高级过滤器配置主题

download PDF
以下部分讨论高级过滤配置主题。

18.12.11.1. 连接跟踪

网络过滤子系统(Linux 上)利用连接跟踪支持 IP 表。这有助于强制网络流量的双向(匹配)以及计算和限制客户机同时连接的数量。例如,如果客户机虚拟机具有 TCP 端口 8080 作为服务器打开,客户端可以在端口 8080 上连接到 guest 虚拟机。然后,连接跟踪和执行可能会阻止客户机虚拟机启动从(TCP 客户端)端口 8080 到主机物理机器的连接。更为重要的是,跟踪有助于防止远程攻击者建立到客户机虚拟机的连接。例如,如果客户机虚拟机中的用户已建立到攻击者站点上的端口 80 的连接,则攻击者将无法从 TCP 端口 80 发起到客户机虚拟机的连接。默认情况下,连接状态匹配,可启用连接跟踪,然后打开流量的双向连接。

例 18.9. 关闭到 TCP 端口连接的 XML 示例

以下显示了一个 XML 片段示例,为到 TCP 端口 12345 的传入连接关闭这个功能。
   [...]
    <rule direction='in' action='accept' statematch='false'>
      <cp dstportstart='12345'/>
    </rule>
   [...]
这现在允许传入流量到 TCP 端口 12345,但也可启用从虚拟机中的启动(客户端)TCP 端口 12345,它们可能或可能并不需要。
Red Hat logoGithubRedditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务,以及可以信赖的内容,帮助红帽用户创新并实现他们的目标。

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情,请参阅红帽博客.

關於紅帽

我们提供强化的解决方案,使企业能够更轻松地跨平台和环境(从核心数据中心到网络边缘)工作。

© 2024 Red Hat, Inc.