iptables - tylko ssh

[witosxx]

Witam,

Mam następujący problem:
Chciałem ustawić sobie iptables tak żeby jedyny dozwolony ruch to były połączenia ssh na port 10000.

Problem jest taki że przy takich ustawieniach działa:

Kod: Zaznacz cały

Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             192.168.0.1       tcp spts:login:65535 dpt:10000 state NEW,ESTABLISHED 

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     tcp  --  192.168.0.1        anywhere            tcp spt:10000 dpts:login:65535 state ESTABLISHED

A przy takich już nie:

Kod: Zaznacz cały

Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             192.168.0.1       tcp spts:login:65535 dpt:10000 state NEW,ESTABLISHED 

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Jak widać jedyna zmiana to taka że łańcuch OUTPUT dostaje domyślne ACCEPT i zero reguł. I o dziwo tak nie działa ( nie mogę połączyć się z hostem z innego kompa ), a w pierwszym przypadku jest ok. Czy ktoś mógłby mi wytłumaczyć dlaczego tak się dzieje?

[sulti]

Pierwszy kod jest bez sensu. Ustawiasz polityki na DROP a w pierwszym kroku wpuszczasz cokolwiek. Całość jest generalnie trochę chaotyczna
Powinieneś zflushować cały iptables i zrobić:

Kod: Zaznacz cały

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --dport 10000 -d 192.168.0.1 -j ACCEPT

[witosxx]

Nie jest bez sensu - te pierwsze linijki to jest dla ruchu na lo tylko tutaj tego nie pokazało

A takie ustawienia jak podałeś to pierwsze co próbowałem i właśnie tak jest problem, dopoki nie ustawię OUTPUT na drop i nie dodam tych 2 reguł jak w pierwszym poście...

[sulti]

Rozumiem, że ustawiasz to wszystko na serwerze (kompie o adresie 192.168.0.1) ?
Bo jeśli tak to nie widzę powodu, dla którego miałoby nie działać.. Że tak powiem - "u mnie działa"
Jak nie wiesz gdzie Ci ruch ucieka na iptables to spróbuj podpatrzeć

Kod: Zaznacz cały

iptables -nvL

zobaczysz tam liczbę pakietów, trafiających do konkretnej reguły. Podpatrz gdzie Twoje ssh leci.