Come posso verificare se esiste già una regola iptables?

Devo aggiungere una regola a iptables per bloccare le connessioni a una porta tcp da Internet.

Poiché il mio script può essere chiamato più volte e non esiste uno script per eliminare la regola, voglio verificare se esiste già una regola iptables prima di inserirla, altrimenti ci saranno molte regole dup nella catena INPUT.

Come posso verificare se esiste già una regola iptables?

C'è una nuova -C --checkopzione nelle recenti versioni di iptables.

# iptables -C INPUT -p tcp --dport 8080 --jump ACCEPT
iptables: Bad rule (does a matching rule exist in that chain?).
# echo $?
1

# iptables -A INPUT -p tcp --dport 8080 --jump ACCEPT

# iptables -C INPUT -p tcp --dport 8080 --jump ACCEPT
# echo $?
0

Per le versioni precedenti di iptables, userei il suggerimento di Garrett:

# iptables-save | grep -- "-A INPUT -p tcp -m tcp --dport 8080 -j ACCEPT"

La nuova -Copzione non è soddisfacente, perché è aperta a una condizione di gara TOCTTOU (time-of-check-to-time-of-use). Se due processi tentano di aggiungere la stessa regola nello stesso momento, -Cnon li proteggeranno dall'aggiunta due volte.

Quindi, non è davvero meglio della grepsoluzione. Un accurato processo di elaborazione del testo sull'output di iptables-savepuò funzionare in modo affidabile come -C, poiché quell'output è un'istantanea affidabile dello stato delle tabelle.

Ciò che è necessario è --ensureun'opzione che controlla atomicamente e aggiunge una regola solo se non esiste già. Inoltre, sarebbe bello se la regola fosse spostata nella posizione corretta in cui una nuova regola sarebbe inserita se non esistesse già ( --ensure-move). Ad esempio, se iptables -I 1viene utilizzato per creare una regola all'inizio di una catena, ma tale regola esiste già nella settima posizione, la regola esistente dovrebbe spostarsi nella prima posizione.

Senza queste funzionalità, penso che una soluzione alternativa possibile sia scrivere un loop di script di shell basato su questo pseudo codice:

while true ; do
  # delete all copies of the rule first

  while copies_of_rule_exist ; do
    iptables -D $RULE
  done

  # now try to add the rule

  iptables -A $RULE # or -I 

  # At this point there may be duplicates due to races.
  # Bail out of loop if there is exactly one, otherwise
  # start again.
  if exactly_one_copy_of_rule_exists ; then
    break;
  fi
done

Questo codice potrebbe girare; non garantisce che due o più corridori saranno fuori entro un numero fisso di iterazioni. Alcuni sleeps esponenziali randomizzati potrebbero essere aggiunti per aiutare in questo.

Questo può sembrare un po 'arretrato, ma funziona per me. Prova prima a eliminare la regola.

iptables -D INPUT -s xxx.xxx.xxx.xxx -j DROP;

Dovresti ricevere un messaggio simile a:

iptables: regola errata (esiste una regola corrispondente in quella catena?)

Quindi aggiungi semplicemente la tua regola normalmente:

iptables -A INPUT -s xxx.xxx.xxx.xxx -j DROP;

Basta elencarlo e cercarlo?

iptables --list | grep $ip

... o comunque hai specificato la regola. Se lo usi grep -qnon genererà nulla e puoi semplicemente controllare il valore di ritorno con$?

Che ne dici di aggiungere e rimuovere prima i duplicati come descritto in https://serverfault.com/questions/628590/duplicate-iptable-rules . Il più semplice (per linee adiacenti) sembra essere

iptables-save | uniq | iptables-restore

Per evitare regole duplicate dal tuo script, aggiungi sotto la riga.

iptables -C -INPUT -p tcp --dport 8080 --jump ACCEPT || iptables -A -INPUT -p tcp --dport 8080 --jump ACCEPT

La prima volta che viene eseguito il comando precedente, osserveremo il messaggio seguente

iptables: regola non valida (esiste una regola corrispondente in quella catena?).

Questo è solo per informazione. Ma la seconda metà del comando assicurerebbe di aggiungere la regola.