回答:
--syn
フラグは、TCPトラフィックをチェックするために有用であるが、NEW
状態が(を含む他のプロトコルのために使用することができるTCP
)などUDP
とICMP
。これはTCPオプションNEW
よりも一般的です--syn
。
iptablesマニュアルから、次を読むことができます:
NEW meaning that the packet has started a new connection,
or otherwise associated with a connection which has not seen packets in both directions
たとえば、DNS要求はNEW
状態と一致し--syn
ますが、オプション付きのルールとは一致しません。単純に、それはUDPデータグラムです。
また、この--syn
オプションを使用して、不正なフラグの組み合わせを持つTCPパケットをチェックし、それらをドロップできます。
また、これらのオプションの両方を一緒に使用して、最初のパケットとしてNEW
TCPフローをチェックし--syn
、次のようにドロップできます。
$ sudo iptables -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG --log-prefix "New not syn:"
ここでは、このタイプのパケットを、bad_tcp_packets
ドロップ/ロギングなどと呼ばれるユーザー定義のチェーンに追加しています...