Chỉ cho phép các gói SYN đến cổng 80 khớp với ipset

tôi có một ipset đặt tên danh sách cho phép.

Tôi muốn cho phép mọi kết nối với máy của mình trên mọi cổng trừ cổng 80, ở đó tôi chỉ muốn cho phép kết nối với ipset: danh sách cho phép.

Tôi chỉ muốn nhắm mục tiêu đồng bộ hóa các gói từ cổng 80 cho hiệu quả, để có thể:

1. nếu cờ tcp = đồng bộ hóa
2. nếu cổng là 80
3. nếu nó khớp với ipset có tên danh sách cho phép

Sau đó cho phép kết nối, nếu không thì bỏ gói (nếu gói đồng bộ hóa 80 và không phù hợp với danh sách cho phép).

Thứ tự rất quan trọng đối với hiệu quả, vì tôi không muốn lọc hoặc làm chậm kết nối đã thiết lập.

Tôi đang cố gắng viết các quy tắc iptables cho nó.

Có thể triển khai kết hợp tuần tự như vậy bằng cách sử dụng các chuỗi tùy chỉnh:

iptables -N c1
iptables -N c2
iptables -A INPUT -p TCP --syn -j c1
iptables -A c1 -p tcp --dport 80 -j c2
iptables -A c2 -m set --match-set allowList src -j CHẤP NHẬN
iptables -A c2 -j THẢ

Tuy nhiên, tôi nghi ngờ bạn sẽ đạt được không tí nào đạt được hiệu quả rõ rệt từ điều này. Ngoài ra, quản trị viên tiếp theo sẽ phụ trách hỗ trợ điều này sau khi bạn chắc chắn sẽ nguyền rủa bạn, ít nhất.

Tốt hơn là đừng cố gắng tối ưu hóa quá sớm và kết hợp tất cả các kết quả phù hợp thành một quy tắc duy nhất. Tôi chắc chắn rằng có một số điểm trong hệ thống của bạn có thể được tối ưu hóa với mức tăng đáng chú ý hơn nhiều.