IPTables, gelen SSH bağlantılarına izin verme kuralı

Bu komut dosyasının amacı localhost <-> localhost ve gelen SSH trafiği dışında yalnızca VPN üzerinden trafiğe izin vermektir. Ama komut dosyasını SSH üzerinden çalıştırdığımda bağlantı kesildi ve vm'yi yeniden başlatmak zorunda kaldım. Senaryomda sorun nedir?

#!/bin/bash
iptables -F

#Allow over VPN
iptables -A INPUT -i tun+ -j ACCEPT
iptables -A OUTPUT -o tun+ -j ACCEPT

#Localhost
iptables -A INPUT -s 127.0.0.1/8 -j ACCEPT
iptables -A OUTPUT -d 127.0.0.1/8 -j ACCEPT

#VPN
iptables -A INPUT -s 123.123.123.123 -j ACCEPT
iptables -A OUTPUT -d 123.123.123.123 -j ACCEPT

#SSH
iptables -A INPUT -p tcp --dport ssh -j ACCEPT

#Default Deny
iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP

Dışarı çıkan herhangi bir paket için çıkış zinciri sorumludur .

Betiğiniz yalnızca giden paketlerin 123.123.123.123 adresindeki tünel arabirimine, localhost'a ve uzak ana makineye izin verir.

Sunucuya, SSH arka plan programının yukarıdakilerden biri dışında bir hedefe paket göndermesini gerektiren bir şekilde bağlanıyorsanız, trafiğin dışarı çıkmasına izin verilmez.

SSH arka plan programınızdan SSH istemcisine giden paketlere izin vermek için aşağıdaki kuralı eklemeniz gerekir:

iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

Yalnızca tek bir konumdan bağlanıyorsanız, yukarıdaki kurala hedef IP ölçütleri eklemek de isteyebilirsiniz. Bu kuralın çıktı zinciri için nihai 'başka bir şey DROP' kuralından önce gelmesi gerekir.

Sizin #SSHkural ssh değil mi iletişimin tek yönlü biçimidir ima eder. Veriler ileri ve geri gönderiliyor .

İstemci tarafındaki bağlantı noktası numarasını önceden bilmediğinizden, bununla başa çıkmanın normal yolu, kurulan bir bağlantıyla "kurulmuş" veya "ilgili" olarak kabul edilen bağlantılara izin vermektir . Bunu yapmak için ihtiyacınız olan:

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

DROPKurallarınızdan önce (ve tercihen en üstte, kurallar sırayla işlendiğinden ve bu ikisi çoğu paket için geçerli olacağından).

Burada TCP bağlantısının nasıl KURULDUĞU ile ilgili bir açıklama var ; aslında, sunucunun #SSH INPUTkuralınızın izin verdiği pakete cevap vermesi bunu yapar.