Як налаштувати IPTables блокувати весь трафік, крім SSH в Debian Linux?

Опубліковано по

Перевірте поточну конфігурацію Iptables
iptables -S

Ваш висновок повинен бути порожнім наступним…

  -P ВХІД ACCEPT
  -P FORWARD ACCEPT
  -P OUTPUT ACCEPT

 

Якщо Iptables не порожньо, як зазначено вище, то додаткові порти можуть бути відкриті на вашій машині. В цьому випадку, промивати таблицю, тип iptables -F, Потім перевірте конфігурацію Iptables, набравши iptables -S.

 

Переконайтеся, що корінь

su
 

Введіть наступну конфігурацію команд по одному рядку за один раз. Будь ласка, переконайтеся, що порядок в'їзду таким же, як показано нижче, в іншому випадку ви можете блокувати SSH.

   Iptables -A ВХОДА -i ось -j ACCEPT
   Iptables-A ВХІД -p TCP -m TCP --dport 22 -J ACCEPT
   Iptables -A OUTPUT -o ось -j ACCEPT
   Iptables -A OUTPUT -p TCP --sport 22 -м стан --state ESTABLISHED -j ACCEPT
   Iptables -P ВХІД DROP
   Iptables -P OUTPUT DROP

У наведеному вище описі, ось для адаптера замикання, який потрібно користуватися деякими програмами і без нього деяких додатків можуть зламатися.

 

Ви також можете дозволити весь трафік на вихід. тому, такі правила будуть застосовуватися замість вище…

   Iptables -A ВХОДА -i ось -j ACCEPT
   Iptables-A ВХІД -p TCP -m TCP --dport 22 -J ACCEPT
   Iptables -P ВХІД DROP

 

Якщо ви хотіли б дозволили встановлені і пов'язані пакети потім будуть застосовуватися такі правила. Без цього ви не зможете використовувати APT-GET і запити GIT. Використовуйте наступні замість вище 2 набори правил.

   Iptables -I INPUT -m стан --state СТВОРЕНО,ПОВ'ЯЗАНІ З -j ACCEPT
   Iptables -A ВХОДА -i ось -j ACCEPT
   Iptables-A ВХІД -p TCP -m TCP --dport 22 -J ACCEPT
   Iptables -P ВХІД DROP

Після того, як ви визначилися правила найбільш підходящими для вашої системи, вам потрібно зберегти ваші правила, в іншому випадку вони не будуть зберігатися після перезавантаження

Збереження правил в файл

iptables-save > /etc/iptables.conf

Вище зберігає правило в файлі. Потім вам потрібно буде завантажити свої правила при кожному перезавантаженні

nano /etc/rc.local

Додайте наступний рядок в файл, вище exit 0

iptables-restore < /etc/iptables.conf
 

Нижче наведені деякі значення до правил ...

Установами сенс, що пакет пов'язаний із з'єднанням, за яким проходили пакети в обох напрямках

ЗВ'ЯЗАНИЙ сенс, що пакет починається нове з'єднання, але пов'язаний з існуючим з'єднанням, такі, як передача даних FTP, або помилка ICMP.