IPTables: дозволяти доступ лише до SSH, нічого іншого не входити чи виходити

Як налаштувати IPTables так , що він буде тільки дозволить SSH в, і не допускати будь-якого іншого трафіку в або з ?

Будь-які заходи безпеки будь-хто може порекомендувати?

У мене є сервер, який, на мою думку , успішно переміщений з GoDaddy, і я вважаю, він більше не використовується.

Але я хочу переконатися лише тому, що ... ти ніколи не знаєш. :)

Зауважте, що це віртуальний виділений сервер від GoDaddy ... Це означає, що немає резервного копіювання і практично немає підтримки.

Вам потрібно просто встановити політику за замовчуванням на DROP у ланцюгах INPUT та OUTPUT.

Щоб увімкнути SSH, вам потрібні наступні команди:

$ sudo iptables -P INPUT DROP
$ sudo iptables -P OUTPUT DROP
$ sudo iptables -A INPUT -i lo -j ACCEPT
$ sudo iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
$ sudo iptables -A OUTPUT -o lo -j ACCEPT
$ sudo iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

Останні дві команди дозволяють зворотний трафік, тому що деякі програми вимагають для правильної роботи. Ви можете обмежити доступ до SSH з певного IP, використовуючи -s source_ipопцію.

Виконання команд у порядку, як показано вище, призведе до зависання вашого поточного сеансу SSH. Це тому, що команди iptables набувають чинності негайно. Вам потрібно виконати їх у сценарії оболонки, щоб уникнути втрати можливості підключитися до машини при віддаленому виконанні.

Щось на зразок цього:

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -j REJECT  # or iptables -P INPUT DROP

iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -j REJECT # or iptables -P OUTPUT DROP