Привет, подскажите пожалуйста по iptables (таблица filter, цепочка INPUT). Я

Question

Привет, подскажите пожалуйста по iptables (таблица filter, цепочка INPUT). Я

так понял стандартом прописываются такие правила, чтобы ничего не сломалось после смены дефолтной политики на DROP:

iptables -A INPUT -p tcp --dport=22 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

И дальше уже открываешь нужные порты. Верно?

Просто я также встречал, что правило icmp пишут не так, а разбивая его на 4 правила icmptype (3, 11, 12, 8). Наверное не просто так

#devops #linux #programming #russian

0

08.04.2022

7 ответов

10 просмотров

Ilya Anfimov

Стандартов никаких нет. Подход выглядит рабочим. Если пишэшь удалённо -- есть прямой смысл запустить screen и на таймер поставить iptables-restore с заведомо рабочей конфигурацыей.

0

08.04.2022

Nickolay Автор вопроса

kiosaku
в первую строчку добавь -m state —state NEW либо (...

Спасибо!

0

08.04.2022

kiosaku

это будет пропускать только syn, т.е. попытку установления нового соединения. related,established разрешит работу уже установленным соединениям. можно пойти дальше и явно отфильтровывать пакеты с неверно установленными флагами, но проще поставить policy drop 🙂

0

08.04.2022

Nickolay Автор вопроса

kiosaku
это будет пропускать только syn, т.е. попытку уста...

Понял, спасибо 😊 Рейт-лимит кстати да, классно будет сочитаться если только на новые соединения сделать правило. Я так понимаю ты много работаешь с сетями 😎

0

08.04.2022

Ilya Anfimov

Добавляет, поскольку всякие странные атаки, которые херачат не-syn либо неправильным syn по открытому порту -- отсекает слегка.

0

08.04.2022

Nickolay Автор вопроса

Ilya Anfimov
Добавляет, поскольку всякие странные атаки, которы...

Понял. Спасибо!

0

08.04.2022