A ferramenta iptables é comumente utilizada para limitar o tráfego de dados como forma de proteção contra a entrada de intrusos e a saída de dados secretos. A expressão que inclui uma regra na iptables, definindo o descarte dos pacotes de dados HTTP que chegam na porta 80 em qualquer interface de rede de um dado servidor, é:
- A)iptables -A OUTPUT -p all --dport 80 -j REJECT
Errada, porque usa a cadeia OUTPUT, que trata tráfego de saída, e ainda traz -p all, o que não é adequado para HTTP.
- B)iptables -A INPUT -p tcp --dport 80 -j DROP
Certa, pois bloqueia na cadeia INPUT o tráfego TCP destinado à porta 80 com ação DROP.
- C)iptables -A OUTPUT -o eth1 --dport 80 -j DROP
Errada, porque também trata tráfego de saída (OUTPUT) e ainda restringe a interface, quando o enunciado fala em qualquer interface.
- D)iptables -A INPUT -i eth1 --dport 80 -j RETURN
Errada, porque RETURN não faz descarte do pacote, apenas retorna o processamento à cadeia anterior.
- E)iptables -A OUTPUT -p tcp --dport 80 -j REJECT
Errada, porque usa OUTPUT, ou seja, tráfego de saída, quando o enunciado pede bloqueio de pacotes que chegam ao servidor.
Gabarito: B
O iptables é o “porteiro” do Linux: ele lê regras e decide o que entra, o que sai e o que deve ser bloqueado. Para acertar esse tipo de questão, você precisa identificar duas coisas: a cadeia (INPUT, OUTPUT ou FORWARD) e a porta/protocolo envolvidos. Quando a banca fala em pacotes HTTP que chegam na porta 80 em qualquer interface do servidor, ela está descrevendo tráfego de entrada. Por isso, a regra deve usar a cadeia INPUT, porque o pacote está entrando no servidor, e não saindo dele. Como HTTP normalmente usa TCP, o protocolo correto é tcp, com --dport 80. O comando também precisa mandar descartar os pacotes. Em iptables, isso é feito com a ação DROP, que simplesmente joga fora o pacote. É o “sem conversa, sem passagem”. Assim, a alternativa B está correta: iptables -A INPUT -p tcp --dport 80 -j DROP. A lógica é perfeita para barrar conexões HTTP de entrada, independentemente da interface de rede. Em provas, sempre desconfie quando a regra usa OUTPUT para algo que claramente “chega” ao servidor.