Como configurar o iptables para bloquear todo o tráfego, exceto SSH no Debian Linux?

postado em por

Verifique a configuração do iptables atual
iptables -S

Sua saída deve estar vazio como se segue…

  -P ENTRADA ACCEPT
  -P FRENTE ACEITAR
  OUTPUT ACCEPT -P

 

Se seus iptables não está vazio, como acima, em seguida, portas extras poderia ser aberta em sua máquina. Nesse caso, para limpar a mesa, tipo iptables -F, em seguida, verificar a configuração iptables digitando iptables -S.

 

Certifique-se de ser root

su
 

Digite seguinte configuração comanda uma linha de cada vez. Por favor, garantir a ordem de entrada é o mesmo que abaixo, caso contrário você pode bloquear SSH.

   iptables -A ENTRADA -i lo -j ACCEPT
   iptables -A ENTRADA -p tcp -m tcp --dport 22 -j ACCEPT
   iptables -A OUTPUT -o lo -j ACCEPT
   iptables -A --sport tcp OUTPUT -p 22 -m estado --state ESTABELECIDO -j ACCEPT
   iptables -P ENTRADA GOTA
   iptables -P OUTPUT GOTA

No acima, Lo é para o adaptador de auto-retorno que é requerido por algumas aplicações e sem ele algumas aplicações pode quebrar.

 

Você também pode querer permitir que todo o tráfego para a saída. portanto, as seguintes regras se aplicam em vez do acima…

   iptables -A ENTRADA -i lo -j ACCEPT
   iptables -A ENTRADA -p tcp -m tcp --dport 22 -j ACCEPT
   iptables -P ENTRADA GOTA

 

Se você gostaria de permitiu estabelecida e relacionada pacotes, em seguida, iria aplicar as seguintes regras. Sem isso, você não será capaz de usar do apt-get e pedidos git. Use o seguinte em vez do acima 2 conjuntos de regras.

   Estado iptables ENTRADA -I -m --state ESTABELECIDO,RELACIONADOS -j ACCEPT
   iptables -A ENTRADA -i lo -j ACCEPT
   iptables -A ENTRADA -p tcp -m tcp --dport 22 -j ACCEPT
   iptables -P ENTRADA GOTA

Depois de ter decidido as regras mais apropriado para seu sistema, você vai precisar para guardar as suas regras, caso contrário eles não vão persistir após a reinicialização

Salve suas regras para um arquivo

iptables-save > /etc/iptables.conf

O acima salva sua regra em um arquivo. Em seguida, terá de carregar suas regras em cada reinicialização

nano /etc/rc.local

Adicione a seguinte linha para o arquivo, acima exit 0

iptables-restore < /etc/iptables.conf
 

Abaixo estão alguns significados para as regras ...

significado estabelecido que o pacote está associado com uma ligação que tem visto pacotes em ambas as direcções

significado relacionado que o pacote está começando uma nova conexão, mas está associada a uma conexão existente, tal como uma transferência de dados de FTP, ou um erro ICMP.