iptables: diferença entre pacotes NOVOS, ESTABELECIDOS e RELACIONADOS

Parte de um firewall em um servidor:

iptables -A INPUT -p tcp --dport 22 -m state NEW --state -m recent --set

iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 100 --hitcount 10 -j DROP

Quando pesquiso on-line, sempre vejo NEW sendo usado nessa regra, mas não consigo entender por que ESTABELECIDO e RELACIONADO não está sendo usado.

Como isso :

iptables -A INPUT -p tcp --dport 22 -m state NEW,ESTABLISHED,RELATED --state -m recent --set

iptables -A INPUT -p tcp --dport 22 -m state --state NEW,ESTABLISHED,RELATED -m recent --update --seconds 100 --hitcount 10 -j DROP

Alguém pode me explicar quando exatamente um NOVO pacote muda para ESTABELECIDO e RELACIONADO?

Considere um pacote NOVO uma ligação telefônica antes que o receptor atenda. Um pacote ESTABELECIDO é o "Olá". E um pacote RELACIONADO seria se você estivesse ligando para informar sobre um e-mail que estava prestes a enviar. (O e-mail está sendo RELACIONADO.)

Caso minha analogia não seja tão boa, pessoalmente acho que as páginas de manual lidam bem com isso:

NOVO - o que significa que o pacote iniciou uma nova conexão ou foi associado a uma conexão que não viu pacotes nas duas direções, e

ESTABELECIDO - significa que o pacote está associado a uma conexão que viu pacotes nas duas direções,

RELATED - significa que o pacote está iniciando uma nova conexão, mas está associado a uma conexão existente, como uma transferência de dados FTP ou um erro ICMP.

iptables (8) - página de manual do Linux

Asumming para servidor e cliente um restritivo INPUTe aberto OUTPUT, ou seja:

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT

E de iptables-extensions (8) sobre o exemplo de FTP no modo ativo:

1. NOVO

NOVO O pacote iniciou uma nova conexão ou foi associado a uma conexão que não viu pacotes nas duas direções.

O cliente na porta 50000(qualquer porta sem privilégios aleatórios) se conecta ao servidor FTP na porta 21, o servidor precisaria pelo menos disso para aceitar esta conexão de entrada:

iptables -A INPUT --dport 21 -m state --state NEW -j ACCEPT

2. ESTABELECIDO

ESTABELECIDO O pacote está associado a uma conexão que viu pacotes nas duas direções.

Agora no lado do cliente, ele abriu uma conexão de saída para o servidor na porta 21usando uma porta local 50000e ele precisa as seguintes iptables para permitir a resposta a chegar a partir server (21)de client (50000):

sudo iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

3. RELACIONADOS

RELATED O pacote está iniciando uma nova conexão, mas está associado a uma conexão existente, como uma transferência de dados FTP ou um erro ICMP.

Agora, depois que a conexão FTP for estabelecida e uma conexão de dados estiver prestes a ser realizada, o cliente abrirá um soquete do servidor (sim, com o cliente FTP ativo se torna um servidor para a conexão de dados) na porta 60000(para o meu entendimento, o cliente marcará essa porta 60000quanto RELATEDà outra conexão de 50000->21) e enviará esse número de porta ao servidor usando o PORTcomando FTP . Em seguida, o servidor FTP abrirá uma nova conexão de sua porta 20para porta 60000no cliente e, agora, o cliente exige o seguinte para permitir que essa nova conexão seja bem-sucedida:

sudo iptables -A INPUT -m state --state RELATED -j ACCEPT

Por fim, para que isso funcione, você precisa habilitar o ip_conntrack_ftpmódulo do kernel para permitir que o sistema marque conexões / pacotes como RELATED(este é meu entendimento, eu não cavei muito nisso):

modprobe ip_conntrack_ftp