iptables DROP 策略不适用于允许传入的 http 连接

Question 1

您的OUTPUT链缺少允许从端口 80 建立连接的规则。

使用

iptables -A OUTPUT -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT

您的nmap输出来自netstat，这是一个完全不同的工具。

输出netstat显示哪些进程具有活动的侦听 TCP 套接字。每当您运行打开侦听套接字的守护进程时，它始终会出现在列表中。

防火墙规则在网络堆栈内部运行，并充当访问服务的单独隔离层。当您配置防火墙条目时，它们将限制到服务器的流量。这些规则对netstat显示的内容没有影响。

您需要通过运行来检查规则是否有效iptables -nvL，它将显示每条规则提供的数据包数的计数器。另一种检查是从外部向服务器发出请求，看看规则是否有效。

Answer

您的OUTPUT链缺少允许从端口 80 建立连接的规则。

使用

iptables -A OUTPUT -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT

您的nmap输出来自netstat，这是一个完全不同的工具。

输出netstat显示哪些进程具有活动的侦听 TCP 套接字。每当您运行打开侦听套接字的守护进程时，它始终会出现在列表中。

防火墙规则在网络堆栈内部运行，并充当访问服务的单独隔离层。当您配置防火墙条目时，它们将限制到服务器的流量。这些规则对netstat显示的内容没有影响。

您需要通过运行来检查规则是否有效iptables -nvL，它将显示每条规则提供的数据包数的计数器。另一种检查是从外部向服务器发出请求，看看规则是否有效。

Question 2

我必须禁用除端口 80 之外的所有传入连接，以便颁发 SSL 证书，当然还有 SSH 连接

我尝试连接到端口 80，它给了我 301 并将我重定向到 https 版本，之后我收到 504。如果我直接转到 443，我会立即得到 504

默认情况下 - HTTP 为 80/tcp，HTTPS 为 443/tcp。您仅打开了 80/tcp。

-A INPUT -p tcp -m tcp -m multiport --dports 80,443 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -p tcp -m tcp -m multiport --sports 80,443 -m state --state ESTABLISHED,RELATED -j ACCEPT

还要注意，在 OUTPUT 中不允许任何新连接（因此有效地阻止所有新连接）从主机。例如，DNS查询被阻止，或者可能是其他原因导致您的主机无法正常运行。此外，您不需要在OUTPUT中为每个相应的INPUT规则重复规则。
更好地以更清晰、可预测和安全的方式组织 INPUT 和 OUTPUT 中的规则，就像这种模式一样

-P MAIN_CHAIN DROP
-A MAIN_CHAIN -o lo -j ACCEPT
-A MAIN_CHAIN -m state --state ESTABLISHED,RELATED -j ACCEPT
# next rules ACCEPT only NEW for all your needs
-A MAIN_CHAIN -m state --state NEW match-something1 -j ACCEPT
-A MAIN_CHAIN -m state --state NEW match-something2 -j ACCEPT
#... and so on

因此你的规则是：

-P INPUT DROP
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -m state --state NEW -j ACCEPT
-A INPUT -p tcp -s <**external address**/24> --dport 22 -m state --state NEW -j ACCEPT
-A INPUT -p tcp -m multiport --dports 80,443 -m state --state NEW -j ACCEPT

-P OUTPUT DROP
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Answer