quy tắc iptables chỉ cho phép lưu lượng HTTP đến một tên miền

Tôi cần định cấu hình máy của mình để chỉ cho phép lưu lượng HTTP đến / từ serverfault.com. Tất cả các trang web, cổng dịch vụ khác không thể truy cập. Tôi đã đưa ra các quy tắc iptables này:

#drop everything
iptables -P INPUT DROP
iptables -P OUTPUT DROP

#Now, allow connection to website serverfault.com on port 80
iptables -A OUTPUT -p tcp -d serverfault.com --dport 80 -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

#allow loopback
iptables -I INPUT 1 -i lo -j ACCEPT

Nó không hoạt động khá tốt:

• Sau khi tôi bỏ mọi thứ và chuyển sang quy tắc 3:

  iptables -A OUTPUT -p tcp -d serverfault.com --dport 80 -j CHẤP NHẬN

Tôi nhận được lỗi này:

iptables v1.4.4: host/network `serverfault.com' not found
Try `iptables -h' or 'iptables --help' for more information.

Bạn có nghĩ rằng nó có liên quan đến DNS? Tôi có nên cho phép nó là tốt? Hoặc tôi chỉ nên đặt địa chỉ IP trong các quy tắc? Bạn có nghĩ rằng những gì tôi đang cố gắng có thể đạt được với các quy tắc đơn giản hơn không? Làm sao?

Tôi sẽ đánh giá cao bất kỳ sự giúp đỡ hoặc gợi ý về điều này. Cảm ơn rất nhiều!

Với quy tắc IPTables, vấn đề đặt hàng. Các quy tắc được thêm vào, và áp dụng, theo thứ tự. Hơn nữa, khi thêm quy tắc thủ công, họ sẽ được áp dụng ngay lập tức. Do đó, trong ví dụ của bạn, mọi gói tin đi qua chuỗi INPUT và OUTPUT bắt đầu bị hủy ngay khi chính sách mặc định được đặt. Đây cũng là lý do tại sao bạn nhận được thông báo lỗi bạn đã làm. Điều gì đang xảy ra là đây:

1. Chính sách DROP mặc định được áp dụng
2. IPTables nhận tên máy chủ làm đích
3. IPTables thử tra cứu DNS trên 'serverfault.com'
4. Tra cứu DNS bị chặn bởi hành động DROP

Mặc dù các tùy chọn nguồn / đích sẽ chấp nhận tên máy chủ lưu trữ, nhưng nó không được khuyến khích. Để trích dẫn trang người đàn ông,

Tên máy chủ sẽ chỉ được giải quyết một lần, trước khi quy tắc được gửi tới kernel. Xin lưu ý rằng việc chỉ định bất kỳ tên nào sẽ được giải quyết bằng một truy vấn từ xa như DNS là một ý tưởng thực sự tồi tệ.

Slillibri đánh vào đầu mà câu trả lời của anh ta, bạn đã bỏ lỡ quy tắc ACCEPT DNS. Trong trường hợp của bạn, điều đó không thành vấn đề, nhưng nhìn chung tôi sẽ đặt chính sách mặc định sau này cho quy trình. Điều cuối cùng bạn muốn là làm việc từ xa và cho phép SSH sau khi bật từ chối mặc định.

Ngoài ra, tùy thuộc vào bản phân phối của bạn, bạn sẽ có thể lưu các quy tắc tường lửa của mình sao cho chúng sẽ được áp dụng tự động khi bắt đầu.

Biết tất cả những điều đó và sắp xếp lại kịch bản của bạn, đây là những gì tôi muốn giới thiệu.

# Allow loopback
iptables -I INPUT 1 -i lo -j ACCEPT

# Allow DNS
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

# Now, allow connection to website serverfault.com on port 80
iptables -A OUTPUT -p tcp -d serverfault.com --dport 80 -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# Drop everything
iptables -P INPUT DROP
iptables -P OUTPUT DROP

Thêm vào

iptables -A OUPUT -p udp --dport 53 -j ACCEPT

để cho phép tra cứu DNS.

Loại yêu cầu này có thể được xử lý tốt hơn với proxy web và / hoặc bộ lọc. Dansgaurdian có thể được cấu hình để làm điều này. Bạn sẽ cần sử dụng các quy tắc NAT để buộc lưu lượng truy cập của mình thông qua bộ lọc.

Sử dụng iptables để lọc sẽ cho phép mọi trang web có sẵn từ các địa chỉ IP có liên quan. Đây thường là một tập hợp con nhỏ của toàn bộ web.

Tôi sợ iptables không hoạt động ở cấp độ này, nó chỉ quan tâm đến địa chỉ IP, không phải tên máy chủ. Nếu bạn muốn chặn quyền truy cập vào các máy chủ ảo tên khác trên cùng một ip, bạn sẽ cần xem xét việc đưa vào các tệp .htaccess.

Bạn cần cấu hình cái này ở máy chủ web của bạn. iptables là một bộ lọc gói. Các giao dịch HTTP gửi tên trang web (tức là stackoverflow) như một phần của tải trọng TCP (nghĩa là không phải là một phần của tiêu đề TCP, đây là những gì iptables đọc dễ dàng).

Do đó, và thực tế là các giao dịch HTTP gần như chắc chắn sẽ được trải rộng trên nhiều gói (nghĩa là bạn không thể khớp chuỗi trong tiêu đề HTTP), điều này được xử lý tốt hơn nhiều bởi cấu hình máy chủ web của bạn hoặc bằng proxy ở phía trước của nó

Sẽ rất hữu ích khi biết lý do đằng sau điều này, có một vài lựa chọn thay thế khác:

1. Chuyển hướng đến URL chính xác nếu họ nhập sai URL (ví dụ: chuyển hướng đến stackoverflow.com nếu họ nhập www.stackoverflow.com)
2. Yêu cầu máy chủ web của bạn không phục vụ các máy chủ khác ngoài stackoverflow.com
3. Đặt trang web trên một IP riêng mà không có gì khác giải quyết và chỉ khiến máy chủ web của bạn lắng nghe điều đó.