☰

允许某些出站连接

tag-icon • tag-icon linux iptables
允许某些出站连接

我尝试通过 ssh 连接到远程主机 (139.162.206.137)，但 iptables 阻止了该连接。这是我的实际 iptables 配置

[root@SRV1 ~]# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       all  --  anywhere             anywhere             match-set IPs_countries src
DROP       all  --  anywhere             anywhere             match-set IPs_blacklist src
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:http
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:https
ACCEPT     tcp  --  81.51.151.22.dyn.user.ono.com  anywhere             tcp dpt:6556
ACCEPT     tcp  --  81.51.151.22.dyn.user.ono.com  anywhere             tcp dpt:12800
ACCEPT     tcp  --  81.51.151.22.dyn.user.ono.com  anywhere             tcp dpt:12801
ACCEPT     icmp --  81.51.151.22.dyn.user.ono.com  anywhere             icmp echo-request
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere             state RELATED,ESTABLISHED
DROP       all  --  anywhere             anywhere            

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

没有任何阻止策略 如果我停止 iptables 服务，我可以正确连接。我的出站连接到底发生了什么？

提前致谢

答案1

防火墙没有阻止出站连接（OUTPUT 表没有规则，并且默认允许）。

问题很可能是服务器返回的数据包被丢弃了 - 也就是说，这是 INPUT 表的问题。

我猜是前两条规则之一阻止了 ssh 连接。它们应该位于“state RELATED,ESTABLISHED”规则之后，因此您应该重新排列规则，将这些块放在最后。

另一种方法是针对你尝试通过 SSH 进入的机器设置一个特定的例外，例如

 iptables -I INPUT -p tcp -s X.X.X.X -j ACCEPT

接受来自该主机的任何流量或

 iptables -I INPUT -p tcp -s X.X.X.X -p tcp --sport 22 -j ACCEPT

将其限制为来自该 IP 的 SSH 流量。

答案2

您应该添加一条规则以允许从 ssh 远程服务器到本地机器的数据包。

sudo iptables -A  INPUT  -p tcp --sport 22  -j ACCEPT

如果添加规则后不起作用。您可以尝试通过将规则插入为第一个来更改位置

sudo iptables -I  INPUT  -p tcp --sport 22  -j ACCEPT

相关内容