je ne suis pas un grand lecteur de iptables, mais de ce que j'en sais au niveau règles générales de fonctionnement de serveurs et de pare feu :
quand tu te connectes à une page web distante (disons http), ton browser contacte le serveur sur le port 80, ce qui est possible grâce à la rêgle
iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT
Mais une fois ce contact établi, le serveur te renvoie un autre numéro de port aléatoire pour que la communication réelle puisse se faire, sans bloquer un autre utilisateur voulant accéder à la même page web, qui se retrouverait à attendre que tu veuilles bien libérer le port 80.
C'est là que le ESTABLISHED rentre en compte. Les rêgles
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED -j ACCEPT
indiquent que iptables doit laisser passer les connections "déjà établies", car sinon, la réponse de la part du serveur, et la tentative de connexion vers le nouveau port attribué serait bloqué par ton pare feu.
L'idée générale est là (de ce que j'en sais (ou de ce que j'en ai compris :) )), je laisse des gens plus expérimentés que moi mieux préciser ces mécanismes.
# port dynamique
Posté par cimcim . En réponse au message IPtables -configuration. Évalué à 2.
je ne suis pas un grand lecteur de iptables, mais de ce que j'en sais au niveau règles générales de fonctionnement de serveurs et de pare feu :
quand tu te connectes à une page web distante (disons http), ton browser contacte le serveur sur le port 80, ce qui est possible grâce à la rêgle
Mais une fois ce contact établi, le serveur te renvoie un autre numéro de port aléatoire pour que la communication réelle puisse se faire, sans bloquer un autre utilisateur voulant accéder à la même page web, qui se retrouverait à attendre que tu veuilles bien libérer le port 80.
C'est là que le ESTABLISHED rentre en compte. Les rêgles
indiquent que iptables doit laisser passer les connections "déjà établies", car sinon, la réponse de la part du serveur, et la tentative de connexion vers le nouveau port attribué serait bloqué par ton pare feu.
L'idée générale est là (de ce que j'en sais (ou de ce que j'en ai compris :) )), je laisse des gens plus expérimentés que moi mieux préciser ces mécanismes.