关于iptables服务的问题，防火墙设置

2014-01-13 04:32:42 666 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

类银河恶魔城学习记录1-1 Player状态机的搭建 P28 什么是状态机？一篇文章就够了 - 知乎说实话，目前并不能深入理解状态机的奇妙之处（当然，我觉得状态机作为教程的重要组成部分是不得不理解的，所以以下我会对游戏教程内的状态机做一些我认为的解释，如有错误，请多包涵）阅读详情

看以下命令，先停掉iptables服务，查状态is stopped, 然后-L查看了一下，
再status看状态变了，我在程序里判断的是grep "is stopped"来捕获防火墙开闭状态，
怎么-L命令一执行，status就变这个了呢，导致程序没法正确处理，高手来指导一下

[root@ovs159 ~]# service iptables stop
Flushing firewall rules: [ OK ]
Setting chains to policy ACCEPT: filter [ OK ]
Unloading iptables modules: [ OK ]
[root@ovs159 ~]# service iptables status
Firewall is stopped.
[root@ovs159 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination
[root@ovs159 ~]# service iptables status
Table: filter
Chain INPUT (policy ACCEPT)
num target prot opt source destination

Chain FORWARD (policy ACCEPT)
num target prot opt source destination

Chain OUTPUT (policy ACCEPT)
num target prot opt source destination

...全文

PVE(Proxmox VE）添加VMware Esxi并迁移虚拟机跨平台迁移虚拟机：从VMware虚拟化平台迁移虚拟机到PVE平台。阅读详情

ladofwind

系统维护与使用区 19,615 成员 74,556 内容

+ 关注 + 加入社区

切换为时间正序

非凡glj 2014-01-15

打赏
举报

引用 10 楼 ladofwind 的回复:

[quote=引用 9 楼 zgglj 的回复:] [quote=引用 8 楼 ladofwind 的回复:] [quote=引用 7 楼 zgglj 的回复:] 那就不好办了，你究竟是想看服务是否开启还是规则是否加载哦？

这么跟你说吧，我的程序要在规则里添加些东西，比如端口开放之类的，也就是修改iptables服务的规则，但是不希望改变它的运行状态，也就是说，我的程序运行的效果 1. 如果客户机器上的iptables没有启动，我就添加规则然后把service iptables stop掉，不改变客户以前的状态 2. 如果客户机器上iptables服务本来就启动的，我就添加我的规则所以我的问题关键就是，我判断服务开启与否目前是service iptables status|grep "is stopped" 来判断的，结果发现还有-L后的这种情况，这种加载后服务到底算启动了还是没启动呢？应该是说加载了规则但没启动吧，如果是这样，我就要把这种情况反应在我的代码里，也归到未启动里面，没太好办法 [/quote] 1.你描述iptables没有启用的时候你无法加载规则，如果你启用后加规则再停用，这样没有意义，因为规则没有生效，即便是用户这时启用iptables，你加载的规则也不会存在； 2.你无法判断当前iptables是本来就启用的还是由于其他用户调用iptables -L导致启用的；你应该这样设计： 1.判断iptables服务状态，可以根据service iptables status,也可以根据之前我说的文件判断的方式判断，整个判断过程中你自己不要调用iptables -L,确保不是你启用的iptables； 2.如果iptables是启用状态，添加你的规则； 3.如果iptables未启用，则什么事情都不做[/quote] 明白你的意思，我告诉测试人员不要用iptables -L了，说这条命令会把服务启动，也就不是stop状态了，看看他还找茬不，关于你说的，/proc/net/ip_tables_names这个文件，如果不行再用这种方法吧，确实服务启动状态和-L后这个文件都存在，那么就可以判断文件存在来判断服务启动或者所谓的被加载吧，我可以理解-L后的那个状态是服务启动但没加载规则吧？ [/quote] 是的

ladofwind 2014-01-15

打赏
举报

引用 9 楼 zgglj 的回复:

[quote=引用 8 楼 ladofwind 的回复:] [quote=引用 7 楼 zgglj 的回复:] 那就不好办了，你究竟是想看服务是否开启还是规则是否加载哦？

践行见远 2014-01-15

打赏
举报

学习下吧……

非凡glj 2014-01-14

打赏
举报

引用 8 楼 ladofwind 的回复:

[quote=引用 7 楼 zgglj 的回复:] 那就不好办了，你究竟是想看服务是否开启还是规则是否加载哦？

ladofwind 2014-01-14

打赏
举报

引用 7 楼 zgglj 的回复:

那就不好办了，你究竟是想看服务是否开启还是规则是否加载哦？

非凡glj 2014-01-14

打赏
举报

那就不好办了，你究竟是想看服务是否开启还是规则是否加载哦？

ladofwind 2014-01-14

打赏
举报

引用 5 楼 zgglj 的回复:

如果-L不受你控制，那可以用一个土办法你可以把/lib/modules/<所用核心版本>/kernel/net/ipv4/netfilter/iptable_filter.ko模块改个名字，比如iptable_filter2.ko，这样服务停止后别人用iptables -L就不会导致模块加载了。不过如果需要启用服务，就需要自己手工加载了，insmod /lib/modules/<所用核心版本>/kernel/net/ipv4/netfilter/iptable_filter2.ko 如果要service iptables start仍然发挥作用，需要修改/etc/init.d/iptables脚本 nat表和mangle表也可以用类似的办法

这个办法不适用，我的代码是产品代码，将来发布要客户安装在各种版本linux上。。。还有什么办法吗， -L后的那些输出如果固定，要不我也grep一下那些东西？

非凡glj 2014-01-14

打赏
举报

如果-L不受你控制，那可以用一个土办法你可以把/lib/modules/<所用核心版本>/kernel/net/ipv4/netfilter/iptable_filter.ko模块改个名字，比如iptable_filter2.ko，这样服务停止后别人用iptables -L就不会导致模块加载了。不过如果需要启用服务，就需要自己手工加载了，insmod /lib/modules/<所用核心版本>/kernel/net/ipv4/netfilter/iptable_filter2.ko 如果要service iptables start仍然发挥作用，需要修改/etc/init.d/iptables脚本 nat表和mangle表也可以用类似的办法

ladofwind 2014-01-14

打赏
举报

引用 1 楼 Wentasy 的回复:

正常的啊，没有任何规则。建议通过服务的返回值来判断。

我是python程序里判断iptables服务的启动与否的，所以grep "is stopped" 来看启动没启动，但是如果用户，-L 后，我的程序不灵了，他-L不受我控制，所以我既要考虑 is stopped 情况还要考虑，-L后如您所说加载模块后的情况，如何判断呢，还是说查这个/proc/net/ip_tables_names 文件能更健壮

ladofwind 2014-01-14

打赏
举报

引用 2 楼 zgglj 的回复:

service iptables stop调用后卸载了iptables相关的模块，如果你调用iptables -L，内核会自动加载iptable_filter模块，类似，如果是iptables -t nat -L，内核会自动加载iptable_nat模块，如果你要查通过service iptables stop是否关闭了防火墙，可以通过检查/proc/net/ip_tables_names文件是否存在来进行判断，程序中就不要调用iptables -L了

非凡glj 2014-01-13

打赏
举报

service iptables stop调用后卸载了iptables相关的模块，如果你调用iptables -L，内核会自动加载iptable_filter模块，类似，如果是iptables -t nat -L，内核会自动加载iptable_nat模块，如果你要查通过service iptables stop是否关闭了防火墙，可以通过检查/proc/net/ip_tables_names文件是否存在来进行判断，程序中就不要调用iptables -L了

Wentasy 2014-01-13

打赏
举报

正常的啊，没有任何规则。建议通过服务的返回值来判断。

关于iptables服务的问题，防火墙设置

相关推荐