Как я могу проверить, существует ли правило iptables?

Мне нужно добавить правило в iptables, чтобы заблокировать подключения к TCP-порту из Интернета.

Поскольку мой сценарий может вызываться несколько раз, а сценарий для удаления правила отсутствует, я хочу проверить, существует ли правило iptables, прежде чем его вставить, иначе в цепочке INPUT будет много правил dup.

Как я могу проверить, существует ли правило iptables?

В -C --checkпоследних версиях iptables появилась новая опция.

# iptables -C INPUT -p tcp --dport 8080 --jump ACCEPT
iptables: Bad rule (does a matching rule exist in that chain?).
# echo $?
1

# iptables -A INPUT -p tcp --dport 8080 --jump ACCEPT

# iptables -C INPUT -p tcp --dport 8080 --jump ACCEPT
# echo $?
0

Для более старых версий iptables я бы использовал предложение Гарретта:

# iptables-save | grep -- "-A INPUT -p tcp -m tcp --dport 8080 -j ACCEPT"

Новая -Cопция не является удовлетворительной, потому что она открыта для состояния гонки «время проверки на время использования» (TOCTTOU). Если два процесса попытаются добавить одно и то же правило примерно в одно и то же время, -Cони не будут защищены от добавления его дважды.

Таким образом, это действительно не лучше, чем grepрешение. Точная работа по обработке текста на выходеiptables-save может работать так же надежно, как и на этом -C, так как этот вывод является надежным снимком состояния таблиц.

Необходима --ensureопция, которая атомарно проверяет и добавляет правило, только если оно еще не существует. Более того, было бы неплохо, если бы правило было перемещено в правильную позицию, в которую было бы вставлено новое правило, если оно еще не существовало (--ensure-move ). Например, если iptables -I 1используется для создания правила в начале цепочки, но это правило уже существует в седьмой позиции, то существующее правило должно переместиться в первую позицию.

Я думаю, что без этих возможностей возможный обходной путь - написать цикл сценария оболочки на основе этого псевдокода:

while true ; do
  # delete all copies of the rule first

  while copies_of_rule_exist ; do
    iptables -D $RULE
  done

  # now try to add the rule

  iptables -A $RULE # or -I 

  # At this point there may be duplicates due to races.
  # Bail out of loop if there is exactly one, otherwise
  # start again.
  if exactly_one_copy_of_rule_exists ; then
    break;
  fi
done

Этот код может вращаться; это не гарантирует, что два или более гонщика будут в пределах фиксированного числа итераций. Некоторые рандомизированные экспоненциальные отсрочки могут быть добавлены, чтобы помочь с этим.

Это может показаться немного отсталым, но это работает для меня - попробуйте сначала удалить правило.

iptables -D INPUT -s xxx.xxx.xxx.xxx -j DROP;

Вы должны получить сообщение, похожее на:

iptables: неверное правило (существует ли соответствующее правило в этой цепочке?)

Затем просто добавьте ваше правило как обычно:

iptables -A INPUT -s xxx.xxx.xxx.xxx -j DROP;

Просто список и поиск?

iptables --list | grep $ip

... или, тем не менее, вы указали правило. Если вы используете grep -qего, ничего не выведите, и вы можете просто проверить возвращаемое значение с помощью$?

Как насчет сначала добавить, а затем удалить дубликаты, как описано в https://serverfault.com/questions/628590/duplicate-iptable-rules . Самый простой (для соседних линий), кажется,

iptables-save | uniq | iptables-restore

Чтобы избежать дублирования правил в вашем скрипте, добавьте строку ниже.

iptables -C -INPUT -p tcp --dport 8080 --jump ACCEPT || iptables -A -INPUT -p tcp --dport 8080 --jump ACCEPT

При первом запуске вышеуказанной команды мы увидим следующее сообщение

iptables: неверное правило (существует ли соответствующее правило в этой цепочке?).

Это только для информации. Но вторая половина команды обеспечит добавление правила.