Estou tentando configurar um servidor web usando umOdroid U3; como sistema operacional eu tenho o Debian 7.4. O problema surgiu ao tentar carregar as regras do iptables com iptables-persistent. Estou usando o mesmo arquivo com regras que uso há algum tempo, mas por algum motivo agora ele se recusa a funcionar (tenho outro servidor com Odroid U2 e Debian 7 e funciona bem).
iptables-restore fornece uma mensagem de falha na linha com o COMMIT.
Isolei o problema na parte de prevenção de força bruta do ssh. Ao tentar adicionar essas regras manualmente, recebo "iptables: Nenhuma cadeia/destino/correspondência com esse nome". Aqui estão as regras:
:INPUT DROP [0:0] :FORWARD DROP [0:0] :OUTPUT DROP [8:1088] -A INPUT -i eth0 -p tcp -m multiport --dports 67,80,465 -m state --state NEW,ESTABLISHED -j ACCEPT -A INPUT -i eth0 -p tcp -m multiport --sports 67,80,465 -m state --state ESTABLISHED -j ACCEPT -A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -i eth0 -p udp -m udp --sport 53 -j ACCEPT -A OUTPUT -o eth0 -p tcp -m multiport --sports 22,67,80,465 -m state --state ESTABLISHED -j ACCEPT -A OUTPUT -o eth0 -p tcp -m multiport --dports 67,80,465 -m state --state NEW,ESTABLISHED -j ACCEPT -A OUTPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT -A OUTPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT -A OUTPUT -o lo -j ACCEPT -A OUTPUT -o eth0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name SSH --rsource -A INPUT -p tcp -m tcp --dport 22 -m recent --rcheck --seconds 30 --hitcount 4 --rttl --name SSH --rsource -j REJECT --reject-with tcp-reset -A INPUT -p tcp -m tcp --dport 22 -m recent --rcheck --seconds 30 --hitcount 3 --rttl --name SSH --rsource -j LOG --log-prefix "SSH brute force " -A INPUT -p tcp -m tcp --dport 22 -m recent --update --seconds 30 --hitcount 3 --rttl --name SSH --rsource -j REJECT --reject-with tcp-reset -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A OUTPUT -p udp --dport 123 -j ACCEPT -A INPUT -p udp --sport 123 -j ACCEPT COMMIT
o que estou perdendo?
Agradeço antecipadamente
Responder1
Entendi!
Nas minhas outras máquinas eu tinha DebianChiadoe a versão armfh do pacote iptables era1.4.14
O sistema atual é o DebianJessieonde está a versão1.4.21(mais recente)
Em algum lugar ao longo da linha, o --set (e pelo que parece, toda a parte "recente") foi descartado.
Será necessária outra maneira de evitar a força bruta ...