添加 drop 命令后 iptables 不会阻止 ip

Question 1

阻止 IP 时，应考虑使用iptables -I而不是。将在链的开头插入规则。请注意，iptables 规则将按照其顺序逐一检查，在匹配带有或的规则时会考虑跳转。iptables -Aiptables -IINPUT-j-g

看来 IP 在定义的链之一中是被允许的，例如INPUT_ZONES，，IN_public。IN_public_allow我无法 100% 确认，因为您没有完全指定要尝试阻止的 IP 使用的协议/端口号。

Answer

阻止 IP 时，应考虑使用iptables -I而不是。将在链的开头插入规则。请注意，iptables 规则将按照其顺序逐一检查，在匹配带有或的规则时会考虑跳转。iptables -Aiptables -IINPUT-j-g

看来 IP 在定义的链之一中是被允许的，例如INPUT_ZONES，，IN_public。IN_public_allow我无法 100% 确认，因为您没有完全指定要尝试阻止的 IP 使用的协议/端口号。

Question 2

您具有状态防火墙配置，如下选项所示：

-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

像这样的状态防火墙对于允许的流量具有更高的性能。

无需评估根据（可能很复杂的）规则集允许的所有流量的每个数据包，只需全面评估新连接即可。一旦允许新连接，该连接上的所有后续流量都将受此规则允许，从而大大减少了服务器和客户端之间所有后续流量所需的处理。

更改状态防火墙中的规则集不会清除允许建立和相关连接的现有表。

在您更改/添加/删除 iptables 规则后，防火墙更改之前已建立连接状态表中的所有连接仍保留在允许的连接缓存中。这些已建立的连接将不会根据完整的新规则集重新评估。

如果您更改防火墙规则集，使之前允许的流量不再被允许，并且该规则在该-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT规则之后进行评估，则流量不会立即被阻止。现有连接仍然被允许，只有新连接才会被阻止。（您过去常常将iptables -A INPUT ...新规则附加在 INPUT 链的末尾，因此它将在 conntrack 规则之后进行评估，并受其影响。）

您可以通过两种不同的方式避免这种情况：

插入以特定顺序阻止特定流量的规则，以便在 conntrack 模块允许之前对其进行评估。这就是您在配置中已经看到的内容：
```
-A INPUT -s 213.217.0.183/32 -j DROP
-A INPUT -s 141.98.81.196/32 -j DROP
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
```

创建许多这样的规则当然会抵消使用状态防火墙的一些好处，因为每个规则都需要针对每个数据包进行评估，也需要针对所有允许的流量进行评估（并且大多数服务器看到通过已建立的连接允许的流量比新连接和/或不需要的流量多得多）。

规则更改后刷新 conntrack 连接表。
根据规则更改，您可以刷新整个表，也可以刷新特定条目。安装 conntrack-tools 并使用conntrack例如命令：
```
 conntrack -D -s 10.2.3.4
        Delete all flow whose source address is 10.2.3.4
```

Answer