主页 / server / 问题 / 602320
Accepted
Jimmy
Asked: 2014-06-07 03:03:19 +0800 CST

IPtables - 合理且不矛盾的规则？

  • 772

这是我安装了 SSH 的网络服务器的 IPtable 规则，我得到了帮助。我的问题是，我的规则是否自相矛盾。例如，我被推荐使用这两行：

# DONT KNOW WHAT THESE DO
$i -A INPUT -i lo -j ACCEPT
$i -A INPUT -p icmp --icmp-type any -j ACCEPT

但在我的整体剧本中，我觉得他们可能实际上并没有做任何事情。

i=/sbin/iptables

# Flush all rules
$i -F
$i -X

# Setup default filter policy
$i -P INPUT DROP
$i -P OUTPUT DROP
$i -P FORWARD DROP

# DONT KNOW WHAT THESE DO
$i -A INPUT -i lo -j ACCEPT
$i -A INPUT -p icmp --icmp-type any -j ACCEPT

# Force SYN checks
$i -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

# Drop all fragments
$i -A INPUT -f -j DROP

# Drop XMAS packets
$i -A INPUT -p tcp --tcp-flags ALL ALL -j DROP

# Drop NULL packets
$i -A INPUT -p tcp --tcp-flags ALL NONE -j DROP

# Allow established connections
$i -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Allow unlimited traffic on loopback
$i -A INPUT -i lo -j ACCEPT
$i -A OUTPUT -o lo -j ACCEPT

# Open nginx
$i -A INPUT -p tcp --dport 443 -j ACCEPT
$i -A INPUT -p tcp --dport 80 -j ACCEPT

# Open SSH
$i -A INPUT -p tcp --dport 22 -j ACCEPT
linux

2 个回答

  1. Best Answer

    其中第一个接受环回接口上的所有流量。这是内核与自己对话的方式之一，不阻塞这种流量是相当重要的；如果这样做，可能会出现不可预知的结果。这是一个标准规则，我不知道使用它有任何安全隐患。

    第二个稍微复杂一些。您希望允许多种类型的 ICMP，用于信息（例如 ICMP-host-unreachable）或功能（例如 ICMP-fragmentation-needed、ICMP-echo-r​​eply）目的。但是还有其他一些您可能不想允许的，例如 ICMP-echo-r​​equest。没有简单的方法可以建议您应该做什么，但有些人可能会争辩说

    iptables -A INPUT -p icmp --icmp-type any -m state --state ESTABLISHED,RELATED -j ACCEPT

    稍微宽松一点，并保留了几乎所有有用的功能。

    综上所述，我注意到您列出了两次环回规则，这完全没有意义，并且您正在过滤OUTPUT流量并且不允许将半数据包返回到允许的INPUT流量。所以这根本行不通。

    恐怕我不得不同意伊恩的观点；如果您想开始自定义您的iptables规则，您需要在此之前了解更多关于 TCP/IP 的知识。

    • 2

  2. 在 INPUT 链顶部添加此类规则的一个可能原因是尽早接受包，这样它们就不必遍历您的所有规则：

    $i -A INPUT -i lo -j ACCEPT # whitelist all loopback traffic
$i -A INPUT -p icmp --icmp-type any -j ACCEPT # whitelist all ICMP traffic

    要了解单个规则的使用情况，请使用

    iptables -L -nv
    • 1

相关问题