해결됨 - IPTables INPUT DROP 및 포트 열기

Question

거의 모든 규칙 세트에 있는 일부 표준 방화벽 규칙이 누락되었습니다.

iptables -I INPUT 1 -i lo -j ACCEPT
iptables -I INPUT 2 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

루프백 장치(서버 자체에서 발생)를 통한 모든 통신을 허용하고 설정된 모든 연결(이미 한 번 수락한 경우)을 허용하고 싶을 것입니다. 이러한 규칙은 일반적으로 성능상의 이유로 처음으로 적용됩니다.

체인 의 모든 포트가 잘못된 방향( 대신)에 OUTPUT있습니다 .--dport--sport

그것은매우DROP의 정책 으로 설정하는 것은 이례적 OUTPUT이며 귀하의 서비스와 시스템이 어떻게 작동하는지에 대한 충분한 지식이 필요합니다.

당신은 이미 다음 ACCEPT에 대한 누락된 규칙을 발견했습니다.SSHOUTPUT[*] 그리고 당신은 아마도 내가 에 대해 준 것과 비슷한 규칙을 추가하고 싶을 것입니다 INPUT. 그러나 당신은 그것에 대해 생각하지 않았습니다이름 확인:

iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT

및 DHCP(사용하는 경우). 게다가 ICMP거의 필수입니다:

iptables -A INPUT -p icmp -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT

에서만 사용되는 것이 아니라 다음 ping과 같은 중요한 진단 정보를 제공하기 때문입니다."접속 대상으로가는 길이 없음". 이것이 없으면 서비스는 네트워크 오류가 발생할 때마다 시간 초과될 때까지 대기합니다.

추신: multiport및 comment모듈을 사용하여 규칙을 더 읽기 쉽게 만듭니다. 예:

iptables -A INPUT -m multiport --dports smtp,465,submission -m comment --comment postfix -j ACCEPT

TL;DR: OUTPUT정책을 다음으로 전환하는 DROP것은 그다지 유용하지 않으며 사용하는 모든 서비스가 어떻게 작동하는지에 대한 충분한 지식이 필요합니다.

[*] 질문을 다시 읽은 후 실행 중입니다.SSH다른 포트에서 SSH 반환 패킷을 허용하려고 생각했지만 --dport다른 모든 규칙과 마찬가지로 사용했습니다. 내가 이해하지 못하는 것은 당신이 왜 회사를 운영하고 있느냐는 것입니다.실패2금지22거기에 아무것도 듣고 있지 않으면 포트에서 ssh를 감옥에 가두십시오 .

Answer 1