Iptables ile 80.443 dışındaki tüm bağlantı noktaları nasıl engellenir? [çiftleme]

Tüm bağlantı noktalarını (içeri ve dışarı) engellemek kolaydır, ancak "hariç" sözcüğü ile zordur. Bu koşulu karşılayan herhangi bir kural bilmiyorum.

Not: Bu sorunun yeni bir şey olmadığını biliyorum. Ama aslında, yardımcı olacak hiçbir şey bulamadım. Yani, lütfen bana yardım et!

İlk önce ! NOT sembolüdür.

iptables -A INPUT -p tcp -m tcp -m multiport ! --dports 80,443 -j DROP

İkinci olarak, yazdığınız kurallar beklenen sonuçlara sahip olmayabilir. 80 numaralı bağlantı noktasındaki bağlantıya yanıt da dahil olmak üzere her şeyi bırakıyorsunuz. Bu nedenle, bir web sunucusu amacıyla bu bağlantıya bağlanamayacaksınız diyor.

Bu kurallar İLGİLİ ve KURULU bağlantılara izin verir, bu yüzden bir web sunucusunun çalışması gerekir, aslında ne yapmaya çalışıyorsanız.

iptables -A INPUT -p tcp -m tcp -m multiport --dports 80,443 -j ACCEPT
<insert further allowed list here>
iptables -A INPUT -m conntrack -j ACCEPT  --ctstate RELATED,ESTABLISHED
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j DROP
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -j DROP
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -j DROP

# Set the default policy of the INPUT chain to DROP
iptables -P INPUT DROP

# Accept incomming TCP connections from eth0 on port 80 and 443
iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT

Bu size ihtiyacınız olanı vermelidir

Varsayılan eyleminizi DROP olarak ayarlayabilir ve ardından 80 ve 443'e izin vermek için istisna kuralları oluşturabilirsiniz, örneğin:

# Setting default policies:
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Exceptions to default policy
iptables -A INPUT -p tcp --dport 80 -j ACCEPT       # HTTP
iptables -A INPUT -p tcp --dport 443 -j ACCEPT      # HTTPS

iptables bir eşleşme bulana kadar 'istisnalar' listesinden geçer. Daha sonra -jparametre tarafından belirtilen eylemi gerçekleştirecektir (bu durumda KABUL ET). Bir eşleşme bulamazsa, varsayılan politikaya geri döner ve paketi bırakır.

Not Bu geçici çözüm ile herhangi bir alt etki alanları kilitli olacağını. Örneğin, bu yöntemle www.mydomain.com üzerinde çalışmasını sağlayabilirsiniz, ancak alt alan adınızın www.sub.mydomain.com'un DNS hataları için açılmayacağını varsayalım.