Zerando os contadores

"-Z" ou "--zero" → Esta ação zera os contadores do nosso controle do firewall.

Vamos listar as nossas regras no firewall:

# iptables -L -v

Chain INPUT (policy ACCEPT 4030 packets, 5678K bytes)
 pkts bytes target     prot opt in     out     source       destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source       destination

Chain OUTPUT (policy ACCEPT 3037 packets, 858K bytes)
 pkts bytes target     prot opt in     out     source       destination

Como pode ser notado, temos alguns contadores em nosso firewall, que são os pacotes aceitos e a quantidade em bytes. Então, podemos zerar esses contadores da seguinte forma:

# iptables -Z

Agora vamos listar as regras novamente:

# iptables -L -v

Chain INPUT (policy ACCEPT 2 packets, 298 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Como pode ser notado, os contadores já mudaram de valores, porém, entre o tempo de eu limpar as regras e listar novamente, já tinham passado 2 pacotes pelo meu firewall.

Temos ainda a opção de limpar somente uma chain, vamos limpar somente a chain de OUTPUT, como exemplo:

# iptables -Z OUTPUT

Agora vamos listar as regras novamente:

# iptables -L -v

Chain INPUT (policy ACCEPT 11 packets, 834 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 1 packets, 52 bytes)
 pkts bytes target     prot opt in     out     source               destination

Como pode ser notado, a chain de INPUT está com um valor bem maior do que o da chain OUTPUT que acabamos de limpar.

Agora, se quisermos zerar todos os contadores da tabela NAT, podemos fazer da seguinte forma:

# iptables -t nat -Z

Criando uma nova chain

"-N" ou "--new-chain" → Esta ação cria uma nova chain personalizada.

Vamos criar, como exemplo, a chain internet, que vai servir para cadastrarmos os usuários com acesso à Internet sem passar por proxy:

# iptables -N internet

Como já explicado anteriormente, se não especificarmos uma tabela, o IPtables assume por padrão a tabela filter. Vamos ver um exemplo especificando a tabela aonde desejamos criar a chain:

# iptables -t filter -N internet

Até o momento nós somente trabalhamos com a chain INPUT, que controla o fluxo de entrada.

Agora criamos a chain internet, onde vamos cadastrar os IPs dos clientes que vão sair para a Internet sem utilizar o proxy. Mas como funciona essa chain? Nós cadastramos o que precisamos nela, depois inserimos ela em alguma chain padrão, por exemplo a chain INPUT.

Vamos cadastrar um cliente na nossa nova chain:

# iptables -A internet -s 10.0.0.20 -j ACCEPT

O primeiro passo já está OK, inserimos alguns dados em nossa nova chain, e agora? Agora precisamos fazer uma chamada para essa chain na chain INPUT:

# iptables -A INPUT -j internet

Vamos listar as nossas regras:

# iptables -L -n --line-numbers

Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination
1    internet   all  --  0.0.0.0/0          0.0.0.0/0

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination

Chain internet (1 references)
num  target     prot opt source               destination
1    ACCEPT     all  --  10.0.0.20        0.0.0.0/0

Note o nosso fluxo, agora a primeira regra da chain INPUT é direcionada para a nossa chain internet, então, vai ser executado tudo que estiver na chain internet e depois vai ser retornado para a 2ª regra da chain INPUT.

Agora, pense que foi pedido para inserir mais uma máquina na regra de não passar pelo proxy, o que precisamos fazer então é o seguinte:

# iptables -A internet -s 10.0.0.21 -j ACCEPT

Vamos listar as regras novamente:

# iptables -L -n --line-numbers

Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination
1    internet   all  --  0.0.0.0/0          0.0.0.0/0

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination

Chain internet (1 references)
num  target     prot opt source               destination
1    ACCEPT     all  --  10.0.0.20       0.0.0.0/0
2    ACCEPT     all  --  10.0.0.21       0.0.0.0/0

Com isso o firewall vai ler a chain INPUT e vai notar que a primeira regra é ir para a chain internet e executar o que estiver lá, depois, voltar para a regra número 2 na chain INPUT e continuar o seu fluxo.