1

对于新系统，我有以下 iptable 规则。

基本上我试图允许传入 www、ssl 和 ssh 并允许传出 ftp、ssh、smtp、dns、www 和 ssl 连接。加上一个特殊规则，用于与特定 mysql 服务器的传出 mysql 连接、DoS 攻击助手和一些丢弃的数据包日志记录。我想删除的所有其他连接。

我的麻烦是，每次我为这些规则运行 shell 脚本时，我都会被锁得比鼓还紧。它会丢弃已建立的 ssh 会话，并且不允许我开始新的会话。我必须通过控制台重新启动，因为即使在控制台会话中刷新规则也无济于事。

后备规则（刷新后的前三个）是在开头还是结尾都没有关系。我尝试了很多方法，我希望有一双新的眼睛可以看到我所缺少的：

iptables -F

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP

iptables -A INPUT -i eth0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth0 -p tcp -m multiport --dports 80,443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp -m multiport --sports 80,443 -m state --state ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o eth0 -p tcp -m multiport --dport 21,22,25,53,80,443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eth0 -p tcp -m multiport --sport 21,22,25,53,80,443 -m state --state ESTABLISHED -j ACCEPT

iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

iptables -A OUTPUT -p tcp -s 172.xxx.xxx.xxx --sport 1024:65535 -d 172.xxx.xxx.xxx --dport 3306 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -s 172.xxx.xxx.xxx --sport 3306 -d 172.xxx.xxx.xxx --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT

iptables -A INPUT -p tcp -m multiport --dport 80,443 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT

iptables -N LOGGING
iptables -A INPUT -j LOGGING
iptables -A LOGGING -m limit --limit 2/min -j LOG --log-prefix "IPTables Packet Dropped: " --log-level 7
iptables -A LOGGING -j DROP

任何帮助，将不胜感激。注意：我混淆了内部 IP 以进行发布。

4

0 回答 0