Quiero crear un conjunto de reglas en iptables dentro de un nodo, pero parece que iptables no agrega todas las reglas o de alguna manera me echa cada vez que ejecuto el siguiente script (estoy usando este conjunto de reglas en otros servidores y funciona bien):
# Allow connections that are already connected to your server
iptables -A INPUT -i venet0 -m state --state ESTABLISHED,RELATED -j ACCEPT
# Allow connections to SSH
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT
# Allowing connections to HTTP/HTTPS
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -m state --state NEW -j ACCEPT
# Allow icmp input but limit it to 10/sec
iptables -A INPUT -p icmp -m limit --limit 10/second -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
# Allow all incoming traffic from local
iptables -A INPUT -i lo -j ACCEPT
# Changing the default policy for INPUT chain
iptables -A INPUT -j DROP
El problema que encontré (supongo) es que la última línea (DROP cualquier cosa) se interpreta como una y por eso el servidor me echa.
Ya cambio la conf para vz:
IPTABLES_MODULES="ipt_REJECT ipt_tos ipt_limit ipt_multiport iptable_filter iptable_mangle ipt_TCPMSS ipt_tcpmss ipt_ttl ipt_length ipt_state xt_state ip_conntrack"
Se agradece cualquier ayuda con esto.
Gracias.
Respuesta1
He visto más problemas con OpenVZ y al usar "ESTABLECIDO, RELACIONADO". Lamentablemente, no he podido descubrir cómo arreglar las instalaciones de OpenVZ que por alguna razón no permiten iptables con estado en contenedores.
Pero con las reglas de IPTable razonablemente simples que tiene, ¿realmente necesita que tengan estado? Creo que lo siguiente funcionará igual de bien:
# Allow connections to SSH
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# Allowing connections to HTTP/HTTPS
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
# Allow icmp input but limit it to 10/sec
iptables -A INPUT -p icmp -m limit --limit 10/second -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
# Allow all incoming traffic from local
iptables -A INPUT -i lo -j ACCEPT
# Changing the default policy for INPUT chain
iptables -A INPUT -j DROP