[server] iptables를보다 쉽게 ​​관리

허용 된 일부 사이트를 제외하고 네트워크가 완전히 잠겨 있습니다. 이것은 모두 iptables를 통해 이루어지며 다음과 같이 보입니다.

# Allow traffic to google.com
iptables -A zone_lan_forward -p tcp -d 1.2.3.0/24 -j ACCEPT
iptables -A zone_lan_forward -p udp -d 1.2.3.0/24 -j ACCEPT
iptables -A zone_lan_forward -p tcp -d 11.12.13.0/24 -j ACCEPT
iptables -A zone_lan_forward -p udp -d 11.12.13.0/24 -j ACCEPT
iptables -A zone_lan_forward -p tcp -d 101.102.103.0/24 -j ACCEPT
iptables -A zone_lan_forward -p udp -d 101.102.103.0/24 -j ACCEPT
...

분명히 그 주소는 가정적인 것이지만 아이디어를 얻습니다. 방화벽이 엄청나게 커지고 있습니다. 내가 이것을 할 수 있다면 유지하는 것이 훨씬 쉬울 것입니다.

# Allow traffic to google.com
iptables -A zone_lan_forward -p tcp -d google.com -j ACCEPT
iptables -A zone_lan_forward -p udp -d google.com -j ACCEPT

나는 이것이 가능하다고 믿습니다 man iptables.

주소는 네트워크 이름, 호스트 이름 (DNS와 같은 원격 쿼리로 해결 될 이름을 지정하는 것은 실제로 나쁜 생각 임), 네트워크 IP 주소 (/ 마스크 포함) 또는 일반 IP 주소 일 수 있습니다.

그러나 내가 염려하는 것은 “해결할 이름을 지정하는 것은 … DNS는 정말 나쁜 생각입니다”라는 부분입니다. 왜 이것이 나쁜 생각입니까? 그것은 모든 것을 느리게합니까?

iptables 규칙에서 호스트 이름을 사용하지 않아야 할 경우 방화벽을 단순화하려면 어떻게해야합니까?

답변