如何阻止建立出站 ftp。 Centos/RHEL

Question 1

我猜，但看起来您想阻止与端口 21 和端口 22 的连接。这可以在 ftp 主机本身上完成

iptables -I OUTPUT -p tcp --dport 21 \
-d the.rem.ote.ip \
-m comment --comment "blocked as per ticket##" \
-j REJECT

不过，SFTP 很棘手：它与 ssh 共享一个端口。如果您也同意阻止传出 ssh 连接，则在最后一个命令后添加 ^21^22 。如果您需要保留 ssh 并阻止 sftp，则需要将远程端设置为永远不提供任何 sftp 子注释；或者更改本地配置（不知道如何）以阻止任何类型的 sftp（挑战是用户可以随时下载 sftp 二进制文件）。

在您控制的干预防火墙上阻止端口 21 和 22 更加可靠，但这不会是您需要在此处询问的 centos/rhel 问题。

我认为，如果您无法通过防火墙阻止所有端口 22 访问，那么您将陷入困境。

Answer

我猜，但看起来您想阻止与端口 21 和端口 22 的连接。这可以在 ftp 主机本身上完成

iptables -I OUTPUT -p tcp --dport 21 \
-d the.rem.ote.ip \
-m comment --comment "blocked as per ticket##" \
-j REJECT

不过，SFTP 很棘手：它与 ssh 共享一个端口。如果您也同意阻止传出 ssh 连接，则在最后一个命令后添加 ^21^22 。如果您需要保留 ssh 并阻止 sftp，则需要将远程端设置为永远不提供任何 sftp 子注释；或者更改本地配置（不知道如何）以阻止任何类型的 sftp（挑战是用户可以随时下载 sftp 二进制文件）。

在您控制的干预防火墙上阻止端口 21 和 22 更加可靠，但这不会是您需要在此处询问的 centos/rhel 问题。

我认为，如果您无法通过防火墙阻止所有端口 22 访问，那么您将陷入困境。

Question 2

使用iptables

iptables -A OUTPUT -p 21 -j REJECT      # FTP
iptables -A OUTPUT -p 22 -j REJECT      # SFTP et.al.

请注意，它sftp使用端口 22，该端口也被ssh.

如果您希望进程不知道，请将更改REJECT为DROP。

上面的规则显然是在你想要阻止的机器上。如果您在路由器或其他防火墙设备上配置规则，那么您需要更具体地指定接口和可能的 IP 地址，以免全局阻止此流量。

Answer