☰

Brauche Ratschläge zu iptables

tag-icon • tag-icon linux networking security iptables rules
Brauche Ratschläge zu iptables

Hallo Leute! :-) .

Ich brauche einen (mehrere?) Ratschlag(e) von Ihnen zu meiner iptables-Konfiguration. Ich bin ziemlich neu bei iptables und dies ist das erste Mal, dass ich einen Server mit iptables NUR als Firewall konfiguriere (wir haben weder Geld noch Zeit, im Voraus eine „echte“ Firewall einzurichten).

Ich möchte nur von specific.location.com aus eine SSH-Verbindung zu meinem Server herstellen.

Daher habe ich in INPUT folgende Regeln eingerichtet:

target      in     out     source                       destination
ACCEPT      lo     any     localhost                    anywhere
ACCEPT      any    any     specific.location.com        myserver.local    tcp dpt:ssh

Meine Standardrichtlinien sind:

INPUT DROP
FORWARD DROP
OUTPUT ACCEPT

Mit dieser ersten Konfiguration konnte ich eine Verbindung zu meinem Server herstellen, aber keine Verbindung nach außen (wie google.com) herstellen und die Verbindung war sehr langsam.

Ich habe verstanden, dass meine Firewall keine Regel hatte, die den Status „ESTABLISHED“ für ein Paket enthielt. Tatsächlich schätze ich, dass meine Pakete rauskamen, aber nicht zurückkommen durften …

Deshalb habe ich diese Regel hinzugefügt:

target      in     out     source                       destination
ACCEPT      any    any     anywhere                     anywhere           state ESTABLISHED

Jetzt funktioniert alles wie am Schnürchen, ich kann von außen auf den Server zugreifen, die Verbindung ist wie vorher sehr schnell und ich kann nur von specific.location.com aus per SSH auf meinen Server zugreifen!

Meine einzige Frage ist, dass ich Ihren Rat brauche. Ist das eine saubere Konfiguration? Ich finde im Internet kein Beispiel wie dieses, also bin ich ziemlich gespannt ...

Oder habe ich gerade einen RIESIGEN Sicherheitsfehler begangen?!

Danke für eure Hilfe, Leute :-)

Antwort1

Kanonisch ist diese ESTABLISHED-Regel eigentlich RELATED,ESTABLISHED. Sie hat jedoch keine Auswirkungen auf SSH oder HTTP(S) – der Unterschied besteht darin, dass RELATED auch das umfasst, wastechnischneue Verbindungen, sondern beziehen sich auf eine bestehende Verbindung, wie etwa bei FTP-Datenkanalkommunikation oder ICMP-Echoantworten.

Im Großen und Ganzen ist das, was Sie hier gemacht haben, einfach gut.

verwandte Informationen