已解决 - IPTables 输入下降和端口开放

Question

您缺少一些标准防火墙规则，这些规则几乎存在于每个规则集中：

iptables -I INPUT 1 -i lo -j ACCEPT
iptables -I INPUT 2 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

您当然希望允许通过环回设备的所有通信（它来自服务器本身）并允许每个已建立的连接（您已经接受过一次）。出于性能原因，这些规则通常是第一个。

在您的OUTPUT链中，所有端口都处于错误的方向（--dport而不是--sport）。

这是非常设置DROP为OUTPUT的政策并不常见，它需要您充分了解您的服务和系统如何运作。

你已经注意到ACCEPT了远程控制[*] 你可能想添加类似的规则，OUTPUT就像我曾经给出的那样INPUT。然而你没有想到名称解析：

iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT

和 DHCP（如果您正在使用它）。此外，ICMP几乎必须的还有：

iptables -A INPUT -p icmp -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT

因为它不仅被使用ping，而且还提供重要的诊断信息，例如“没有到主机的路由”如果没有它们，每次发生网络错误时，您的服务都会等待直到超时。

附言：使用multiport和comment模块使您的规则更具可读性，例如：

iptables -A INPUT -m multiport --dports smtp,465,submission -m comment --comment postfix -j ACCEPT

总结：转换您的OUTPUT政策并不是DROP很有用，并且需要您充分了解您所使用的每项服务的运作方式。

[*] 重读你的问题后，你正在运行远程控制在另一个端口上，你考虑过允许 ssh 返回数据包，但你使用了--dport其他所有规则中类似的规则。我不明白的是，你为什么要运行失败2ban22如果没有任何内容在端口上监听，则对 ssh 进行监禁。

Answer 1