Gần đây, tôi đã biết về IPTables và định tuyến IP để định cấu hình máy tính một bo mạch nhằm cách ly một máy cụ thể khỏi phần còn lại của mạng của tôi, trong khi vẫn cho phép máy đó truy cập Internet, trong số một số quy tắc khác.
Tôi quyết định sử dụng kiến thức mới này để tăng cường bảo mật cho các thiết bị đa phương tiện được nhúng của mình (và có thể ngăn chúng hiển thị quảng cáo và báo cáo từ xa). Tôi có một bộ định tuyến ASUS cũ với phần sụn Merlin trong tủ, vì vậy tôi đã thiết lập nó và SSH hoạt động.
Không giống như tường lửa dựa trên SBC trước đây của tôi, có bản cài đặt Ubuntu mới và một phương tiện chặn trống trong iptables, bộ định tuyến ASUS đi kèm với một số quy tắc được xác định sẵn và bảng FORWARD khiến tôi hơi bối rối:
Chuỗi FORWARD (chính sách DROP)
đích prot opt nguồn đích
CHẤP NHẬN tất cả -- mọi nơi mọi nơi có trạng thái LIÊN QUAN,THÀNH LẬP
DROP all -- mọi nơi mọi nơi
DROP all -- mọi nơi mọi nơi có trạng thái KHÔNG HỢP LỆ
CHẤP NHẬN tất cả -- mọi nơi mọi nơi
CHẤP NHẬN tất cả -- mọi nơi mọi nơi ctstate DNAT
CHẤP NHẬN tất cả -- mọi nơi mọi nơi
Theo hiểu biết của tôi, điều này sẽ ngăn bộ định tuyến hoạt động như bình thường. Ví dụ: nếu TV muốn bắt đầu một yêu cầu tới Netflix, thì bộ định tuyến sẽ thấy rằng gói đến từ NIC #2 và được dành cho NIC WAN - không phải cho bất kỳ quy trình nội bộ nào - và do đó phải được đưa qua bảng FORWARD. Quy tắc đầu tiên không nên áp dụng vì gói mới - chưa có bất kỳ câu trả lời nào cho trạng thái LIÊN QUAN hoặc ĐÃ THÀNH LẬP. Quy tắc tiếp theo... nên bỏ nó. Vì vậy, gói không đến được Netflix và không có gì xảy ra.
Trên thực tế, đối với tôi, điều này có vẻ như nó sẽ ngăn chặn mọi thứ và mọi thứ không phải là giao tiếp trực tiếp giữa chính bộ định tuyến (ví dụ: giao diện quản trị viên). Nhưng đó chắc chắn không phải là trường hợp, vì các thiết bị đính kèm đang truy cập internet mà không gặp sự cố. Vì vậy, rõ ràng có một cái gì đó tôi đang thiếu. Bộ định tuyến ASUS không sử dụng bảng FORWARD? Hay các quy tắc không được đánh giá từ trên xuống dưới? Tại sao không bảng FORWARD ở trên ngăn ngừa bộ định tuyến của tôi hoạt động bình thường như một công tắc?
