Регистрация Войти
Рейтинг:0
lampstackxyz avatar Server

iptables блокирует все кроме http/https/ssh

флаг pk
lampstackxyz

У меня есть эта конфигурация iptables на моем vps, который должен запускать Wordpress. Что я хочу сделать, так это заблокировать каждый входящий запрос, кроме http на порту 80, https на порту 443 и ssh на порту 22.

Сеть INPUT (политика ACCEPT)
    num target prot opt ​​источник пункт назначения         
    1 f2b-sshd tcp -- куда угодно многопортовый dports ssh
    
    Сеть FORWARD (политика ACCEPT)
    num target prot opt ​​источник пункт назначения         
    
    Цепочка OUTPUT (политика ACCEPT)
    num target prot opt ​​источник пункт назначения         
    
    Цепочка f2b-sshd (1 ссылка)
    num target prot opt ​​источник пункт назначения         
    1 REJECT all -- [retracted_ip] везде
    2 REJECT all -- [retracted].com в любом месте reject-with icmp-port-unreachable
    3 RETURN all -- в любом месте в любом месте

Я нашел несколько команд в Интернете, но в чем я не уверен, так это в том, что они могут конфликтовать с fail2ban.

348
1 + 0
Рейтинг:0
avatar Server
флаг ar
bob

В общем:

Правила брандмауэра обрабатываются в том порядке, в котором они установлены и отображаются (в выходных данных iptables -L -v -n --номера строк , iptables -L -v -n -t nat --номера строк, iptables-сохранить и/или аналогичные команды).

Создание новых правил в неправильных цепочках и/или неправильном порядке приведет к нежелательным последствиям, нарушению функциональности, безопасности и/или блокировке действительного трафика.

Имейте в виду, что низкий уровень iptables команды для управления вашим брандмауэром не всегда могут быть лучшим решением. Насколько я знаю, в Ubuntu предпочтительнее использовать инструментарий UFW, и он будет надежно работать вместе с fail2ban.

Fail2ban создает одну или несколько пользовательских цепочек (которые берут на себя большую часть тяжелой работы по блокировке определенных IP-адресов, которые ведут себя неправильно), например f2b-sshd цепь. Обычно вы позволяете fail2ban управлять записями в этих цепочках.

Кроме того, fail2ban создает правила для пользовательских цепочек, которые он создает в ВХОД цепь. Обычно эти правила должны прийти первый в ВХОД chain перед любыми другими созданными вами правилами.

В вашей текущей конфигурации брандмауэра, когда вы используете iptables с -А переключитесь на добавление новых правил в цепочку INPUT, все должно работать.

Выполнение следующих команд добавит обычные правила для создания брандмауэра, который разрешает ssh, http и https и блокирует весь другой входящий трафик.

iptables -A ВХОД -m состояние --state СВЯЗАННО, УСТАНОВЛЕНО -j ПРИНЯТЬ
iptables -A ВВОД -i lo -j ПРИНЯТЬ
iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ПРИНЯТЬ
iptables -A INPUT -p tcp -m tcp --dport 80 -j ПРИНЯТЬ
iptables -A INPUT -p tcp -m tcp --dport 443 -j ПРИНЯТЬ
iptables -A INPUT -j REJECT --reject-with icmp-host-prohibited
0 + 0
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.