求解答谢谢

along123

这条防火墙规则是哪个插件生成的

是adguardhome的？用的是dnsmasq作为上游服务器，我删了防火墙规则，卸载了adh再安装同样的设置步骤再去防火墙看规则没有了

iptables -A nat -I PREROUTING -p udp --dport 123 -j REDIRECT --to-ports 123

BohaoTu

这是强制重定向123端口命令，它可以劫持客户机ntp服务器到路由器，强制同步所有客户机的时钟
我猜应该是和时间相关的插件，我感觉这个命令更像是一条自定义规则
类似于53端口重定向命令的改版
iptables -t nat -A PREROUTING -p udp --dport 53 -j REDIRECT --to-ports 53
iptables -t nat -A PREROUTING -p tcp --dport 53 -j REDIRECT --to-ports 53
不过重定向53（劫持客户机dns）用的多一点

along123

顶一下

99010

123端口是网络对时。

这个命令是劫持连接外部123端口，重定向到本设备的123端口。

BohaoTu

命令拆解
这条 iptables 命令可以拆分为以下几个部分：

iptables: Linux 系统下用于配置网络防火墙的工具。
-A nat: 将规则添加到名为 "nat" 的表中。nat 表用于网络地址转换 (Network Address Translation)。
-I PREROUTING: 将规则插入到 "PREROUTING" 链的头部。PREROUTING 链用于在数据包路由之前进行处理。
-p udp: 匹配协议为 UDP 的数据包。
--dport 123: 匹配目的端口为 123 的数据包。通常，UDP 端口 123 用于 NTP (Network Time Protocol) 服务。
-j REDIRECT: 如果匹配到数据包，则执行 REDIRECT 操作。
--to-ports 123: 将匹配到的数据包重定向到本机的 123 端口。
命令含义
整体来说，这条命令的意思是：

将一条规则添加到 iptables 的 nat 表中，这条规则会拦截所有目的端口为 123 的 UDP 数据包，并将这些数据包重定向到本机的 123 端口。

具体作用
NTP 服务的端口转发: 由于端口 123 是 NTP 服务的标准端口，这条规则通常用于将来自外部网络的 NTP 请求转发到本地的 NTP 服务器。
隐藏内部 IP: 通过将外部请求重定向到本地端口，可以隐藏内部网络中 NTP 服务器的真实 IP 地址。
可能的应用场景
多层网络环境: 在多层网络环境中，可以将这条规则部署在边缘路由器上，将来自互联网的 NTP 请求转发到内部网络的 NTP 服务器。
安全考虑: 为了保护内部网络中的 NTP 服务器，可以将这条规则与其他防火墙规则结合使用，限制对 NTP 服务的访问。
注意事项
配置顺序: iptables 规则的顺序非常重要，因为规则是按照顺序逐一检查的。如果有多条规则匹配同一个数据包，则只有第一条匹配的规则会被执行。
安全风险: 不恰当的 iptables 配置可能导致网络服务不可用或安全漏洞。在修改 iptables 配置之前，建议备份现有配置并仔细测试。
示例场景
假设您有一台运行 NTP 服务器的 Linux 服务器，它的 IP 地址是 192.168.1.100。为了让外部网络的客户端能够访问到这台 NTP 服务器，可以在边缘路由器上添加一条 iptables 规则，如下所示：

Bash
iptables -A nat -I PREROUTING -p udp --dport 123 -j REDIRECT --to-ports 123
请谨慎使用代码。

这样，当外部客户端向边缘路由器的公网 IP 发送 NTP 请求时，这个请求就会被重定向到内部网络中的 NTP 服务器。

总结：

这条 iptables 命令通过端口转发的方式，将外部网络的 NTP 请求重定向到本地 NTP 服务器，从而实现对 NTP 服务的访问控制和隐藏内部 IP 地址。

开始懂了~

BohaoTu 发表于 2024-12-4 04:31
命令拆解
这条 iptables 命令可以拆分为以下几个部分：

好专业。研究了。感谢科普。

along123

BohaoTu 发表于 2024-12-4 04:31
命令拆解
这条 iptables 命令可以拆分为以下几个部分：

谢谢解答，删了应该没影响吧

along123

99010 发表于 2024-12-4 00:46
123端口是网络对时。

这个命令是劫持连接外部123端口，重定向到本设备的123端口。 ...

谢谢回复，那么这条删除了应该没啥影响吧，另外这个需不需要打开，乱搞了一桶忘了他是关着还是开着来😂

along123

BohaoTu 发表于 2024-12-4 04:28
这是强制重定向123端口命令，它可以劫持客户机ntp服务器到路由器，强制同步所有客户机的时钟
我猜应该是和 ...

谢谢回复，那么这条删除了应该没啥影响吧，另外这个需不需要打开，乱搞了一桶忘了他是关着还是开着来😂

BohaoTu

along123 发表于 2024-12-4 13:10
谢谢回复，那么这条删除了应该没啥影响吧，另外这个需不需要打开，乱搞了一桶忘了他是关着还是开着来😂 ...

这个需要打开的，打开之后，它应该会自动生成一条相应规则

BohaoTu

along123 发表于 2024-12-4 13:06
谢谢解答，删了应该没影响吧

应该没什么问题，如果是校园网环境，反而必须打开

along123

BohaoTu 发表于 2024-12-4 14:05
应该没什么问题，如果是校园网环境，反而必须打开

家用😂我还以为是啥规则，这亚瑟我刚扩容了overay重置的话又得重新弄

jforce

这个功能有用，开启网关ntp服务器功能
然后内部服务器、网络设备可向网关设备同步时钟
有些傻瓜路由器，作为ap使用，只插LAN口，没有网关不能向外同步时钟，这个就有用了

along123

jforce 发表于 2024-12-4 16:02
这个功能有用，开启网关ntp服务器功能
然后内部服务器、网络设备可向网关设备同步时钟
有些傻瓜路由器，作 ...

所以说这条规则要不要无所谓，这个功能得打开嘛？

jforce

along123 发表于 2024-12-4 17:17
所以说这条规则要不要无所谓，这个功能得打开嘛？

你有需求就打开，没有就算了。
具体我没研究规则，我打开这个后，ap指过来马上就同步时间了。
之前是没有网关不能去互联网同步
区域内到网关默认都是全开