iptables закрыть все, кроме 80 8080 443 ssh munin

duplicate:

-A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT

Могут ли быть проблемы при закрытии udp?

Может udp нужен каким сервисам ОС?

---------- Добавлено 21.02.2017 в 01:38 ----------

Оптимизайка, спасибо, поправил. А в целом?

OK.

N.B. IPv6

Добавление:

iptables -t raw -A PREROUTING -j NOTRACK

iptables -t raw -A OUTPUT -j NOTRACK

привело к полному зависанию.

Dimka, а вы подумайте над другой идеей: вместо того, что бы закрывать "все кроме", возможно, лучше не запускать службы, которые слушают не используемые порты?

Напимер:

- 25 - почта, не используете, почтарь не запускаем;

- 8080 - апач, хотите что бы был недоступен с внешнего мира, пересадите службу с внешнего интерфейста, на localhost;

- 3306 - доступ к мускулу с внешнего мира не нужен, говорим ему "skip-networking".

То есть, если у Вас никто не будет слушать неиспользуемые порты, отпадет необходимость их закрывать.

---

Виктор

Не особо запущено:

netstat -ntulp

Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name

tcp        0      0 0.0.0.0:17777           0.0.0.0:*               LISTEN      858/sshd

tcp        0      0 127.0.0.1:8080          0.0.0.0:*               LISTEN      990/apache2

tcp        0      0 0.0.0.0:80              0.0.0.0:*               LISTEN      934/nginx.conf

tcp6       0      0 :::14949                :::*                    LISTEN      1000/perl

tcp6       0      0 :::17777                :::*                    LISTEN      858/sshd

udp6       0      0 :::32787                :::*                                414/systemd-timesyn



и временно:

tcp        0      0 ip1:8080      	    0.0.0.0:*               LISTEN      934/nginx.conf

tcp        0      0 ip2:8080    	    0.0.0.0:*               LISTEN      934/nginx.conf

tcp        0      0 ip3:8080    	    0.0.0.0:*               LISTEN      934/nginx.conf

Ну, как минимум DNS и NTP (когда сервер действует как клиент).

NOTRACK запрещает добавление записей в таблицу conntrack, у вас там в правилах фигурирует state, которому нужны эти состояния.

P.S. Если TCP порт никто не слушает, и на него пытаются открыть соединение, система просто отправит RST в ответ, а при DROP в правилах, такие пакеты проигнорируются, вот и вся разница.

Какой-то сферической безопасности в вакууме эти правила не добавят.