RESOLVIDO - IPTables INPUT DROP e abertura de porta

Question

Estão faltando algumas regras de firewall padrão, que estão em quase todos os conjuntos de regras:

iptables -I INPUT 1 -i lo -j ACCEPT
iptables -I INPUT 2 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Você certamente deseja permitir toda a comunicação através do dispositivo de loopback (ela vem do próprio servidor) e permitir todas as conexões estabelecidas (você já aceitou uma vez). Essas regras geralmente são as primeiras uma vez por motivos de desempenho.

Na sua OUTPUTcadeia você tem todas as portas na direção errada ( --dportem vez de --sport).

Isso émuitoincomum de definir DROPcomo OUTPUTpolítica e requer um bom conhecimento de como seus serviços e o sistema funcionam.

Você já notou a ACCEPTregra que falta parassh[*] e você provavelmente deseja adicionar regras semelhantes OUTPUTàs que dei para INPUT. No entanto, você não pensou sobreresolução de nome:

iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT

e DHCP (se você estiver usando). Além disso, ICMPé quase obrigatório:

iptables -A INPUT -p icmp -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT

já que não é usado apenas por ping, mas fornece informações de diagnóstico importantes, como"Sem rota para hospedar". Sem eles, seus serviços aguardarão até o tempo limite, sempre que ocorrer um erro de rede.

PS: use os módulos multiporte commentpara tornar suas regras mais legíveis, por exemplo:

iptables -A INPUT -m multiport --dports smtp,465,submission -m comment --comment postfix -j ACCEPT

DR: Mudar sua OUTPUTpolítica para DROPnão é muito útil e requer um bom conhecimento de como funciona cada serviço que você usa.

[*] Depois de reler sua pergunta, você está concorrendosshem outra porta e você pensou em permitir pacotes de retorno ssh, mas usou --dportcomo em todas as outras regras. O que não entendo é por que você está administrando umfail2banprisão por ssh na porta 22se não houver nada escutando lá.

Answer 1