解決済み - IPTables 入力ドロップとポート開放

Question

ほとんどすべてのルールセットに含まれるいくつかの標準的なファイアウォールルールが欠落しています。

iptables -I INPUT 1 -i lo -j ACCEPT
iptables -I INPUT 2 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

ループバックデバイス経由のすべての通信 (サーバー自体からのもの) と確立されたすべての接続 (すでに一度承認済み) を許可する必要があります。これらのルールは、パフォーマンス上の理由から、通常は最初の 1 回だけ使用されます。

チェーン内のOUTPUTすべてのポートが間違った方向 (--dportではなく--sport) になっています。

それはとてもDROPのポリシーとして設定するのは珍しいことOUTPUTであり、サービスとシステムがどのように機能するかについての十分な知識が必要です。

すでにお気づきかと思いますがACCEPT、ssh[*] そして、おそらくOUTPUT私がに与えたのと同様のルールをに追加したいでしょうINPUT。しかし、あなたはについて考えませんでした。名前解決:

iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT

そして DHCP (使用している場合)。さらに、ICMPほぼ必須です:

iptables -A INPUT -p icmp -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT

によって使用されるだけでなくping、次のような重要な診断情報も提供します。「ホストへのルートがありません」これらがないと、ネットワークエラーが発生するたびに、サービスはタイムアウトになるまで待機することになります。

追伸:multiportおよびcommentモジュールを使用して、ルールを読みやすくします。例:

iptables -A INPUT -m multiport --dports smtp,465,submission -m comment --comment postfix -j ACCEPT

要約:OUTPUTポリシーをに切り替えることはDROPあまり役に立ちません。使用するすべてのサービスがどのように機能するかについて十分な知識が必要です。

[*] 質問をもう一度読んでみると、あなたはssh別のポートでsshの戻りパケットを許可することを考えましたが、--dport他のすべてのルールでlikeを使用しました。私が理解できないのは、なぜ失敗2バン22そこに何もリッスンしていない場合は、ポートで SSH を禁止します。

Answer 1