РЕШЕНО - IPTables INPUT DROP и открытие порта

Question

У вас отсутствуют некоторые стандартные правила брандмауэра, которые есть почти в каждом наборе правил:

iptables -I INPUT 1 -i lo -j ACCEPT
iptables -I INPUT 2 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Вы, конечно, хотите разрешить все коммуникации через устройство обратной связи (они исходят от самого сервера) и разрешить каждое установленное соединение (вы уже приняли его один раз). Эти правила обычно являются первыми один раз по соображениям производительности.

В вашей OUTPUTцепочке все порты направлены неправильно ( --dportвместо --sport).

Этооченьнеобычно устанавливать DROPв качестве OUTPUTполитики и требует хорошего знания того, как работают ваши службы и система.

Вы уже заметили отсутствующее ACCEPTправило длясш[*] и вы, вероятно, хотите добавить подобные правила, OUTPUTкак когда-то я дал для INPUT. Однако вы не подумали оразрешение имени:

iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT

и DHCP (если вы его используете). Более того, ICMPэто почти обязательно:

iptables -A INPUT -p icmp -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT

поскольку он не просто используется ping, но и предоставляет важную диагностическую информацию, такую как«Нет пути к хосту». Без них ваши службы будут ждать до истечения времени ожидания каждый раз, когда произойдет ошибка сети.

ПС: используйте модули multiportи comment, чтобы сделать ваши правила более читабельными, например:

iptables -A INPUT -m multiport --dports smtp,465,submission -m comment --comment postfix -j ACCEPT

TL;DR: Изменение OUTPUTполитики на DROPне очень полезно и требует хорошего знания того, как работает каждая используемая вами служба.

[*] Перечитав ваш вопрос, вы работаетесшна другом порту и вы думали о том, чтобы разрешить ssh возвращать пакеты, но вы использовали --dportкак во всех других правилах. Я не понимаю, почему вы запускаетеfail2banтюрьма для ssh на порту, 22если там ничего не слушает.

Answer 1