Я борюсь с проблемой брандмауэра на моем сервере Centos.
У меня есть следующая конфигурация, которую я использую с перезапуском службы iptables и пытаюсь подключиться к серверу по ssh с помощью putty. Но я не могу получить доступ к серверу — я просто получаю ошибку тайм-аута соединения.
Однако, если я опускаю последнюю строку REJECT, то могу.
Я открыл порты для ssh, т.е. порт 22. Что я делаю не так? Я совершаю ошибку новичка? Любая помощь будет оценена по достоинству.
*filter
:INPUT ACCEPT [5:9090]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [3:372]
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 10050 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 10051 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 10051 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 10050 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT -m comment --comment \" ssh port\"
-A INPUT -m state --state NEW -m tcp -p tcp --dport 25 -j ACCEPT -m comment --comment \" email\"
-A INPUT -m state --state NEW -m tcp -p tcp --dport 53 -j ACCEPT -m comment --comment \" DNS large queries\"
-A INPUT -m state --state NEW -m udp -p udp --dport 53 -j ACCEPT -m comment --comment \" DNS small queries\"
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT -m comment --comment \" Apache\"
-A INPUT -m state --state NEW -m tcp -p tcp --dport 110 -j ACCEPT -m comment --comment \" POP3\"
-A INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT -m comment --comment \" Apache ssl\"
-A INPUT -m state --state NEW -m tcp -p tcp --dport 953 -j ACCEPT -m comment --comment \" DNS Internal\"
-A INPUT -m state --state NEW -m tcp -p tcp --dport 993 -j ACCEPT -m comment --comment \" imaps\"
-A INPUT -m state --state NEW -m tcp -p tcp --dport 3128 -j ACCEPT -m comment --comment \" Squid\"
-A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT -m comment --comment \" MySQL\"
-A INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT -m comment --comment \" Jenkins\"
-A INPUT -m state --state NEW -m tcp -p tcp --dport 9090 -j ACCEPT -m comment --comment \" Pmta\"
-A INPUT -m set --match-set blacklist src -j DROP -m comment --comment \"IPSET drop ips on blacklist\"
-A INPUT -p tcp --dport 8080 -j SET --add-set blacklist src
-A INPUT -i ${PREFIX} -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 5 --rttl --name SSH -j DROP
-A INPUT -p tcp --tcp-flags ALL NONE -j DROP -m comment --comment \"Deny all null packets\"
-A INPUT -p tcp --tcp-flags ALL ALL -j DROP -m comment --comment \"Deny all recon packets\"
-A INPUT -p tcp --tcp-flags ALL FIN -j DROP -m comment --comment \"nmap FIN stealth scan\"
-A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP -m comment --comment \"SYN + FIN\"
-A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP -m comment --comment \"SYN + RST\"
-A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j DROP -m comment --comment \"FIN + RST\"
-A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP -m comment --comment \"FIN + URG + PSH\"
-A INPUT -p tcp --tcp-flags ALL URG,ACK,PSH,RST,SYN,FIN -j DROP -m comment --comment \"XMAS\"
-A INPUT -p tcp --tcp-flags ACK,FIN FIN -j DROP -m comment --comment \"FIN without ACK\"
-A INPUT -p tcp --tcp-flags ACK,PSH PSH -j DROP -m comment --comment \"PSH without ACK\"
-A INPUT -p tcp --tcp-flags ACK,URG URG -j DROP -m comment --comment \"URG without ACK\"
-A INPUT -p tcp ! --syn -m state --state NEW -j DROP -m comment --comment \"Deny SYN flood attack\"
-A INPUT -m state --state ESTABLISHED -m limit --limit 50/second --limit-burst 50 -j ACCEPT -m comment --comment \"Accept traffic with ESTABLISHED flag set (limit - DDoS prevent)\"
-A INPUT -m state --state RELATED -m limit --limit 50/second --limit-burst 50 -j ACCEPT -m comment --comment \"Accept traffic with RELATED flag set (limit - DDoS prevent)\"
-A INPUT -m state --state INVALID -j DROP -m comment --comment \"Deny traffic with the INVALID flag set\"
-A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW -m limit --limit 30/minute --limit-burst 200 -j ACCEPT -m comment --comment \"Protection DDoS attacks\"
-A INPUT -j REJECT -m comment --comment \"Close up firewall. All else blocked.\"
COMMIT
решение1
Вы используете модуль latest для динамического ведения списка IP-адресов для каждой попытки подключения к порту 22 и отклоняете IP-адреса, пытающиеся подключиться более 4 раз в минуту или использующие изменяющиеся значения TTL (примечание: эта последняя проверка может также вызвать проблемы с легитимными подключениями в некоторых случаях).
Однако вы делаете это неправильно, потому что вы не добавляете их нигде в список, используя предыдущее правило, содержащее опцию --set. Поэтому ваше правило, использующее --updateцель, возвращает false каждый раз, поскольку вы тестируете пустой список, SSHи пакеты в конечном итоге отбрасываются вашим последним правилом, таким образом, последний ACKпакет трехстороннего рукопожатия отбрасывается сервером.
Вместо этого вы ищете что-то вроде этого:
-A INPUT -m recent --update --name SSH --seconds 60 --hitcount 5 --rttl -j DROP
-A INPUT -i <iface> -p tcp --dport 22 -m state --state NEW -m recent --set --name SSH
Это должны быть единственные правила, связанные с SSH, и они должны анализироваться iptables в этом порядке при обнаружении совпадения (т. е. удалите правило с комментарием «ssh port» и убедитесь, что порядок соблюдается).
Также глобальное замечание: вы пытаетесь отвергнуть распространенные шаблоны атак TCP, но делаете это после множества правил. Вам следует переместить это наверх: это означает бесполезное тестирование перед фактическим сбросом пакетов. Создавайте пользовательские цепочки для ясности, если необходимо.