请教一个iptables的问题

fke7985

以下的语句是什么意思?
#iptables -A INPUT -p tcp -i eth0 -s 192.168.1.235 --syn -j DROP
这个是什么意思啊
如果说是挡到所有来自192.168.1.235的主动连接,那岂不是把192.168.1.235响应自己的包都挡掉了?

响应包是 SYN/ACK 也有syn标记啊

gugong

--syn 不仅仅是--tcp-flags SYN：

请参考 manual:

       [!] --syn
              Only match TCP packets with the SYN bit set and the ACK and RST bits cleared.  Such
              packets  are  used to request TCP connection initiation; for example, blocking such
              packets coming in an interface will prevent incoming TCP connections, but outgoing
              TCP  connections  will  be unaffected.  It is equivalent to --tcp-flags SYN,RST,ACK
              SYN. If the "!" flag precedes the "--syn", the sense of the option is inverted.

fke7985

大哥我看不懂英文啊

gugong

哦，这不是俺的错    

fke7985

知道了，
--syn 是作用是挡掉 SYN被置位而ACK和RST没有被置位的包