Iptables настройка

Подскажите пожалуйста, имеется CentOS 5.5, iptables настроен по умолчанию, мне непонятны следующие моменты:

<code>
INPUT ACCEPT [0:0]
FORWARD ACCEPT [0:0]
OUTPUT ACCEPT [0:0]
<code>
Что означают цифры [0:0]?

<code>
-A RH-Firewall-1-INPUT
<code>
Что означает эта цепочка? В других дистрибутивах, не основанных на Red Hat, такой цепочки нет.

1. «После каждого имени таблицы следуют описания цепочек и правил. Описания цепочек записываются в формате :<chain-name> <chain-policy> [<packet-counter>:<byte-counter>], где <chain-name> -- это название цепочки (например PREROUTING), <chain-policy> -- политика по-умолчанию (например ACCEPT). Завершают описание цепочки значения счетчиков пакетов и байт, те самые счетчики, которые вы получите в результате выполнения команды iptables -L -v.» © http://www.opennet.ru/docs/RUS/iptables/
2. Пользовательская цепочка. Посмотреть правила, в неё входящие можно так:

iptables -S RH-Firewall-1-INPUT

1. 0 - количество пакетов (если мне память не изменяет), прошедших через эту цепочку
2. - Это просто цепочка, которая создана. Она не является стандартной. Скорее, так сказать пользовательская :) Чтобы понять, как она используется - посмотрите в файле конфига, там все вполне понятно.

Упс, опоздал слегка :)

Lupo Alberto, Hrafn. Спасибо большое, но Hrafn пишет: "Это просто цепочка, которая создана. Она не является стандартной. Скорее, так сказать пользовательская" Почему она не является стандартной, если создается именно эта цепочка по умолчанию? И если пользоваться графическим интерфейсом iptables в gnome, то все правила создаются именно через эту цепочку.

Я имел ввиду, что эта цепочка не является стандартной в iptables... это чисто редхатовская цепочка... по крайней мере, у других я ее не припомню

Hrafn, все понятно, спасибо

Вашу тему можно считать решенной?

последний вопрос, в каком случае лучше использовать базовые цепочки, а в каком пользовательские?

Хм, это уже больше от Вас зависит... Пользовательские позволяют добавлять свои собственные правила и всякие-различные условия обработки пакетов. Типа по гибче получается. С другой стороны, основные задачи вполне себе решаются стандартными. Тут вопрос-то не в том, что лучше или хуже, а в том, что требуется в целом, и в том, каким образом эти потребности будут реализованы

safronowmax, нестандартные цепочки при большом количестве правил позволяют оптимизировать их прохождение и снизить нагрузку на маршрутизатор. Для десктоп-машины, на мой взгляд, преимущество заключается в удобстве чтения правил iptables wink
P.S. IMHO, разумеется.

получается, в red hat системах по умолчанию идут только пользовательские цепочки, раз они не стандартны для iptables? Что-то я запутался

Там не могут идти только пользовательские :)
Вообще, не обращайте внимания на -A RH-Firewall-1-INPUT :)

Эту цепочку я вообще удаляю сразу

А вообще, просто почитайте про iptables и поразбирайтесь, как это все работает. Все станет понятней

Использование дополнительных цепочек не исключает использование стандартных. Чаще всего пакеты, прошедшие пользовательские цепочки, перенаправляются в стандартные. И пусть вас не смущает в данном контексте слово «пользовательские» — обычный пользователь редактировать их не может.
P.S. Очень доступно изложена концепция iptables и netfilter — http://www.kryukov.biz/linux_curs_4_1.pdf

Хорошо, спасибо, тему можно закрывать