Reguła IPTables zezwalająca na przychodzące połączenia SSH

Celem tego skryptu jest zezwolenie tylko na ruch przez VPN, z wyjątkiem localhost <-> localhost i przychodzącego ruchu SSH. Ale kiedy uruchamiam skrypt przez SSH, jestem rozłączony i zmuszony do ponownego uruchomienia vm. Co jest nie tak z moim skryptem?

#!/bin/bash
iptables -F

#Allow over VPN
iptables -A INPUT -i tun+ -j ACCEPT
iptables -A OUTPUT -o tun+ -j ACCEPT

#Localhost
iptables -A INPUT -s 127.0.0.1/8 -j ACCEPT
iptables -A OUTPUT -d 127.0.0.1/8 -j ACCEPT

#VPN
iptables -A INPUT -s 123.123.123.123 -j ACCEPT
iptables -A OUTPUT -d 123.123.123.123 -j ACCEPT

#SSH
iptables -A INPUT -p tcp --dport ssh -j ACCEPT

#Default Deny
iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP

Łańcuch wyjściowy odpowiada za każdy wychodzący pakiet.

Twój skrypt pozwala tylko pakietom wychodzącym na tunelowanie interfejsu, hosta lokalnego i hosta zdalnego na 123.123.123.123.

Jeśli łączysz się z serwerem w sposób, który wymaga, aby demon SSH wysyłał pakiety do miejsca docelowego innego niż jeden z powyższych, ruch nie będzie dozwolony.

Aby zezwolić na pakiety wychodzące z demona SSH do klienta SSH, należy dodać następującą regułę:

iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

Możesz również dodać docelowe kryteria IP do powyższej reguły, jeśli łączysz się tylko z jednej lokalizacji. Ta reguła musi znajdować się przed ostateczną regułą „DROP cokolwiek innego” dla łańcucha wyjściowego.

Twoja #SSHreguła sugeruje, że ssh jest jednokierunkową formą komunikacji, ale tak nie jest. Dane są przesyłane tam iz powrotem.

Normalnym sposobem radzenia sobie z tym problemem, ponieważ nie można z góry znać numeru portu po stronie klienta, jest zezwolenie na połączenia, które są uważane za „ustanowione” lub „powiązane” z ustanowionym połączeniem. Aby to zrobić, potrzebujesz:

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Przed twoimi DROPregułami (najlepiej na górze, ponieważ reguły są przetwarzane w kolejności i te dwa będą miały zastosowanie do większości pakietów).

Tam jest wyjaśnienie, w jaki sposób połączenie TCP zostaje USTANOWIONA tutaj ; zasadniczo fakt, że serwer odpowiada na pakiet dozwolony przez #SSH INPUTregułę, sprawia, że ​​tak jest.