Pourquoi avons-nous des paramètres iptables complexes pour les services autorisés ?

Le premier type de pare-feu que vous avez décrit est sans état. Il est simpliste et ne garde pas trace des connexions ; il se contente de vérifier les règles données aussi vite qu'il le peut. Ce type de pare-feu n'est généralement plus recommandé, sauf dans les cas où les performances du pare-feu constituent un goulot d'étranglement important, car il autorise un trafic beaucoup plus important qu'il n'y paraît à première vue. En particulier, le trafic qui n'est pas associé à une connexion légitime peut passer à travers un tel pare-feu.

Le deuxième type de pare-feu est à l'état pur . Il est capable de suivre les états de connexion, de déterminer si un paquet particulier est associé à une bonne connexion connue, et de l'accepter ou de le rejeter. Il est beaucoup plus apte à détecter le trafic non valide qu'un pare-feu sans état. En l'absence d'une préoccupation majeure, tous les pare-feu devrait être à état constant pour une sécurité maximale.

Dans le premier cas, il s'agit généralement d'une mauvaise planification. Résolution réactive des problèmes de sécurité/éteindre les incendies. Par exemple, "Oh merde, ils nous attaquent sur la 123, verrouillez-la !" ou, de manière plus appropriée, la mise sur liste noire. Cette dernière est une forme de liste blanche (meilleure pratique) et se résume généralement à verrouiller les choses par exclusion implicite et à ouvrir ce dont vous avez besoin en fonction des besoins.

Le choix de l'un ou l'autre dépend généralement de votre environnement/style.