GELÖST - IPTables INPUT DROP und Port-Öffnung

Question

Ihnen fehlen einige Standard-Firewall-Regeln, die in fast jedem Regelsatz enthalten sind:

iptables -I INPUT 1 -i lo -j ACCEPT
iptables -I INPUT 2 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Sie möchten sicherlich die gesamte Kommunikation über das Loopback-Gerät zulassen (sie kommt vom Server selbst) und jede hergestellte Verbindung zulassen (Sie haben sie bereits einmal akzeptiert). Aus Leistungsgründen sind diese Regeln normalerweise die ersten.

In Ihrer OUTPUTKette haben Sie alle Ports in die falsche Richtung ( --dportstatt --sport).

Es istsehrDROPEs ist ungewöhnlich, dies als Richtlinie festzulegen OUTPUT, und es erfordert gute Kenntnisse darüber, wie Ihre Dienste und das System funktionieren.

Ihnen ist bereits aufgefallen, dass die ACCEPTRegel fürssh[*] und Sie möchten wahrscheinlich ähnliche Regeln hinzufügen OUTPUTwie die, die ich einmal für angegeben habe INPUT. Sie haben jedoch nicht daran gedachtNamensauflösung:

iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT

und DHCP (sofern Sie es verwenden). Außerdem ICMPist fast ein Muss:

iptables -A INPUT -p icmp -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT

da es nicht nur von verwendet wird ping, sondern auch wichtige Diagnoseinformationen liefert wie„Keine Route zum Gastgeber“. Ohne sie würden Ihre Dienste jedes Mal, wenn ein Netzwerkfehler auftritt, bis zum Timeout warten.

PS: Verwenden Sie die Module multiportund comment, um Ihre Regeln lesbarer zu machen, zB:

iptables -A INPUT -m multiport --dports smtp,465,submission -m comment --comment postfix -j ACCEPT

Kurz zusammengefasst: Das Wechseln Ihrer OUTPUTPolice zu DROPist nicht sehr sinnvoll und erfordert gute Kenntnisse der Funktionsweise aller von Ihnen genutzten Dienste.

[*] Nach erneutem Lesen Ihrer Frage laufen Siesshauf einem anderen Port und Sie haben darüber nachgedacht, SSH-Rückgabepakete zuzulassen, aber Sie haben --dportin allen anderen Regeln „wie“ verwendet. Was ich nicht verstehe, ist, warum Sie einFehler2BanGefängnis für SSH auf dem Port, 22wenn dort nichts zuhört.

Answer 1