Tabele IP: zezwalaj tylko na dostęp SSH, nic więcej do środka

Jak skonfigurować IPTables, aby zezwalało tylko na SSH i nie pozwalało na żaden inny ruch przychodzący ani wychodzący ?

Jakieś środki ostrożności, które ktoś może polecić?

Mam serwer, który moim zdaniem został pomyślnie migrowany z GoDaddy i uważam, że nie jest już używany.

Ale chcę się upewnić tylko dlatego, że ... nigdy nie wiadomo. :)

Pamiętaj, że jest to wirtualny serwer dedykowany od GoDaddy ... To oznacza brak kopii zapasowej i praktycznie brak wsparcia.

Musisz tylko ustawić domyślną zasadę na DROP w łańcuchach INPUT i OUTPUT.

Aby zezwolić na SSH, potrzebujesz następujących poleceń:

$ sudo iptables -P INPUT DROP
$ sudo iptables -P OUTPUT DROP
$ sudo iptables -A INPUT -i lo -j ACCEPT
$ sudo iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
$ sudo iptables -A OUTPUT -o lo -j ACCEPT
$ sudo iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

Dwa ostatnie polecenia zezwalają na ruch zwrotny, ponieważ jest to wymagane przez niektóre aplikacje do poprawnego działania. Możesz ograniczyć dostęp SSH z określonego adresu IP za pomocą -s source_ipopcji.

Wykonywanie poleceń w kolejności pokazanej powyżej spowoduje zawieszenie bieżącej sesji SSH. Wynika to z tego, że polecenia iptables zaczynają obowiązywać natychmiast. Musisz je wykonać w skrypcie powłoki, aby uniknąć utraty możliwości połączenia się z komputerem podczas ich zdalnego uruchamiania.

Coś takiego:

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -j REJECT  # or iptables -P INPUT DROP

iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -j REJECT # or iptables -P OUTPUT DROP