iptables: дозволити певні ips та заблокувати всі інші з'єднання

Як дозволити певні ips та заблокувати всі інші з'єднання в iptables?

Я дуже давно писав повідомлення в блозі про основні правила Iptables для користувачів настільних комп'ютерів, і вам, мабуть, варто прочитати його та пов’язану статтю про дизайн брандмауера Stateful . Але попередньо ядро ​​2.6.39 (яке включає ipsetі ви можете використовувати його для білого списку IP-адрес, якщо у вас до списку більше 10 (де 10 довільне)).

Спочатку обробіть стан, який ми знаємо, що хочемо прийняти чи відмовити, та інтерфейси.

iptables -P FORWARD DROP # we aren't a router
iptables -A INPUT -m state --state INVALID -j DROP
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -s 192.168.1.1 -j ACCEPT
iptables -P INPUT DROP # Drop everything we don't accept

Якщо ви просто хочете зробити дозвіл лише через IP, без стану

iptables -A INPUT -s 192.168.1.1 -j ACCEPT
iptables -A OUTPUT -d 192.168.1.1 -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT DROP

Ви, швидше за все, зіткнетеся з проблемами, роблячи це, і я пропоную використовувати стан, щоб полегшити ваше життя. Наприклад, не дозволяючи -i loі -o lo, безумовно, спричинить проблеми для певних програм.

Ось (неперевірений!) Приклад, який блокує лише вхідні з'єднання. Підключення через інтерфейс зворотного зв'язку, що надходить від 192.168.3.x, ICMP або до порту SSH, дозволено. Усі інші з'єднання відхилено.

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -s 192.168.3.0/24 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -j REJECT

Наведене нижче правило дозволить лише ваш IP та заблокувати всі інші IP-адреси через порт 22 або ssh. Перед відключенням випробуйте новий термінал.

iptables -I INPUT -p tcp ! -s yourIPaddress --dport 22 -j DROP

Ось повний робочий приклад.
Крім того, додатки спрацьовують (повторно: мій коментар про Keepass не починається)

https://github.com/skironDotNet/linux-allow-only-single-ip