iptables 改进：记录与未知端口/目的地的 DROP 连接，以便使用 fail2ban 进行禁止

Question

我正在测试以下支持记录丢弃数据包的 iptables 规则 (ipv4)。我记录丢弃的数据包/var/log/iptables.log，然后使用 fail2ban 禁止重试/攻击 IP。

我不是专家，所以我想问 serverfault 我的规则集和使用 fail2ban 的禁令是否有用，或者只是通过模糊性实现的一些安全性？

（仅供参考，这些规则来自具有 kvm/mail/ssh 的主机）

iptables 规则

:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [152:19775]
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-I FORWARD -m physdev --physdev-is-bridged -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 993 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 587 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 2727 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 4949 -j ACCEPT
-A OUTPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables INPUT:DROP: " --log-level 4
-A INPUT -j DROP
COMMIT