iptables -N (Правильно ли я делаю ?)

[neru_dead]

Создаю свою цепочку
$IPT -N ftpa
Потом добавляю в нее правило
$IPT -A INPUT -p tcp -m state --state NEW -i $local --dport 21 -j ftpa

А потом кому нужен доступ к фтп делаю
$IPT -A ftpa -s 192.168.1.1 -j ACCEPT

[DaemonTux]

Создаю свою цепочку
$IPT -N ftpa
Потом добавляю в нее правило
$IPT -A INPUT -p tcp -m state --state NEW -i $local --dport 21 -j ftpa

Если я правильно понял вопрос. то это правило добавляет в цепочку input правило. Что пакеты со статусом new пришедшие с интерфейса $local на порт 21 перенаправляются в цепочку ftpa

А потом кому нужен доступ к фтп делаю
$IPT -A ftpa -s 192.168.1.1 -j ACCEPT

А это добавляет в цепочку ftpa правило пакет с адресом источника 192.168.1.1 пропустить.

[neru_dead]

Я так понимаю в конечном итоге это правило получается:
$IPT -A INPUT -p tcp -m state --state NEW -i $local --dport 21 -s 192.168.1.1 -j ACCEPT
так же ?

просто у меня таких правил много и что бы не загромождать конфиг я сделал свою цепочку... только правильно ли...

[DaemonTux]

Я так понимаю в конечном итоге это правило получается:
$IPT -A INPUT -p tcp -m state --state NEW -i $local --dport 21 -s 192.168.1.1 -j ACCEPT
так же ?

просто у меня таких правил много и что бы не загромождать конфиг я сделал свою цепочку... только правильно ли...

В итоге правило получается такое. Дополнительных цепочек много делоть не стоит путаница возникает. Ну и имеет смысл делать их если в нутри них несколько правил. Если правило в цепочке одно то получается что производительность падает. Вообще всё зависит от конкретных задач.

[neru_dead]

Я так понимаю в конечном итоге это правило получается:
$IPT -A INPUT -p tcp -m state --state NEW -i $local --dport 21 -s 192.168.1.1 -j ACCEPT
так же ?

просто у меня таких правил много и что бы не загромождать конфиг я сделал свою цепочку... только правильно ли...

В итоге правило получается такое. Дополнительных цепочек много делоть не стоит путаница возникает. Ну и имеет смысл делать их если в нутри них несколько правил. Если правило в цепочке одно то получается что производительность падает. Вообще всё зависит от конкретных задач.

Ясно.
Спасибо за разъяснение...

[zkrvova]

Я тольбко невижу где запрет для остальных адресов иначе эти правила не будут иметь смысла.

[neru_dead]

Я тольбко невижу где запрет для остальных адресов иначе эти правила не будут иметь смысла.

# Set polices by default
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCEPT

[zkrvova]

OK, теперь хорошо.