SOLUCIONADO - CAÍDA DE ENTRADA de IPTables y apertura de puerto

Question

Le faltan algunas reglas de firewall estándar, que se encuentran en casi todos los conjuntos de reglas:

iptables -I INPUT 1 -i lo -j ACCEPT
iptables -I INPUT 2 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Ciertamente desea permitir todas las comunicaciones a través del dispositivo loopback (proviene del propio servidor) y permitir todas las conexiones establecidas (ya las aceptó una vez). Estas reglas suelen ser las primeras por motivos de rendimiento.

En tu OUTPUTcadena tienes todos los puertos en la dirección incorrecta ( --dporten lugar de --sport).

EsmuyEs inusual establecerla DROPcomo OUTPUTpolítica y requiere un buen conocimiento de cómo funcionan sus servicios y el sistema.

Ya notaste la ACCEPTregla que falta parassh[*] y probablemente quieras agregar reglas similares a OUTPUTlas que di una vez INPUT. Sin embargo no pensaste enresolución de nombre:

iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT

y DHCP (si lo está utilizando). Además ICMPes casi imprescindible:

iptables -A INPUT -p icmp -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT

ya que no solo lo utiliza ping, sino que brinda información de diagnóstico importante como"No hay ruta para hospedar". Sin ellos, sus servicios esperarán hasta que se agote el tiempo de espera cada vez que se produzca un error de red.

PD: utilice los módulos multiporty commentpara hacer que sus reglas sean más legibles, por ejemplo:

iptables -A INPUT -m multiport --dports smtp,465,submission -m comment --comment postfix -j ACCEPT

TL;DR: Cambiar de OUTPUTpóliza DROPno es muy útil y requiere un buen conocimiento de cómo funciona cada servicio que utiliza.

[*] Después de releer tu pregunta, estás ejecutandosshen otro puerto y pensaste en permitir paquetes de devolución ssh, pero usaste --dportcomo en todas las demás reglas. Lo que no entiendo es por qué estás ejecutando unfalla2bancárcel para ssh en el puerto 22si no hay nada escuchando allí.

Answer 1