IPTables: chỉ cho phép truy cập SSH, không có gì khác vào hoặc ra

Làm cách nào để định cấu hình IPTables để nó chỉ cho phép SSH vào và không cho phép lưu lượng truy cập khác vào hoặc ra ?

Bất kỳ biện pháp phòng ngừa an toàn bất cứ ai có thể đề nghị?

Tôi có một máy chủ mà tôi tin rằng đã được di chuyển khỏi GoDaddy thành công và tôi tin rằng nó không còn được sử dụng.

Nhưng tôi muốn chắc chắn chỉ vì ... bạn không bao giờ biết. :)

Lưu ý rằng đây là một máy chủ chuyên dụng ảo từ GoDaddy ... Điều đó có nghĩa là không có bản sao lưu và hầu như không hỗ trợ.

Bạn chỉ cần đặt chính sách mặc định thành DROP trên chuỗi INPUT và OUTPUT.

Để cho phép SSH vào, bạn cần các lệnh sau:

$ sudo iptables -P INPUT DROP
$ sudo iptables -P OUTPUT DROP
$ sudo iptables -A INPUT -i lo -j ACCEPT
$ sudo iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
$ sudo iptables -A OUTPUT -o lo -j ACCEPT
$ sudo iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

Hai lệnh cuối cho phép lưu lượng loopback vì một số ứng dụng được yêu cầu để hoạt động chính xác. Bạn có thể hạn chế quyền truy cập SSH từ IP cụ thể bằng -s source_iptùy chọn.

Thực hiện các lệnh theo thứ tự như trên sẽ khiến phiên SSH hiện tại của bạn bị treo. Điều này là do các lệnh iptables có hiệu lực ngay lập tức. Bạn cần thực thi chúng trong tập lệnh shell để tránh mất khả năng kết nối với máy khi thực hiện chúng từ xa.

Một cái gì đó như thế này:

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -j REJECT  # or iptables -P INPUT DROP

iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -j REJECT # or iptables -P OUTPUT DROP