안녕 얘들아! :-) .
내 iptables 설정에 관해 (몇 가지?) 조언이 필요합니다. 저는 iptables를 처음 접했고 iptables만 방화벽으로 사용하여 서버를 구성한 것은 이번이 처음입니다(우리는 "진정한" 방화벽을 미리 설정할 돈도 시간도 없습니다).
특정.location.com에서만 SSH를 통해 내 서버에 연결하고 싶습니다.
따라서 INPUT에 다음 규칙을 설정했습니다.
target in out source destination
ACCEPT lo any localhost anywhere
ACCEPT any any specific.location.com myserver.local tcp dpt:ssh
내 기본 정책은 다음과 같습니다.
INPUT DROP
FORWARD DROP
OUTPUT ACCEPT
이 첫 번째 구성에서는 서버에 연결할 수 있었지만 외부(예: google.com)에 연결할 수 없었고 연결 속도도 매우 느렸습니다.
내 방화벽에는 패킷의 "설정됨" 상태를 포함한 어떤 규칙도 없다는 것을 이해했습니다. 사실, 내 패킷은 나갈 수 있었지만 다시 돌아오는 것은 허용되지 않았던 것 같아요...
그래서 다음 규칙을 추가했습니다.
target in out source destination
ACCEPT any any anywhere anywhere state ESTABLISHED
이제 모든 것이 매력적으로 작동합니다. 서버 외부에서 액세스할 수 있고, 연결은 전처럼 매우 빠르며, 특정.location.com의 SSH를 통해서만 내 서버에 액세스할 수 있습니다!
내 유일한 질문은 당신의 조언이 필요하다는 것입니다. 그것이 깨끗한 구성입니까? 인터넷에서 이와 같은 예를 찾을 수 없어서 매우 궁금합니다.
아니면 제가 엄청난 보안 결함을 저지른 걸까요?!
도와주셔서 감사합니다. :-)
답변1
정식으로 ESTABLISHED 규칙은 실제로 RELATED,ESTABLISHED입니다. 그러나 SSH 또는 HTTP(S)에는 영향을 미치지 않습니다. 차이점은 RELATED에는 다음 항목도 포함된다는 것입니다.기술적으로새로운 연결이지만 FTP 데이터 채널 통신이나 ICMP 에코 응답처럼 기존 연결과 관련되어 있습니다.
전반적으로 여기서 수행한 작업은 괜찮습니다.