Làm cách nào để chặn tất cả các cổng ngoại trừ 80.443 với iptables? [bản sao]

Chặn tất cả các cổng (vào và ra) thật dễ dàng nhưng thật khó với từ "ngoại trừ". Tôi không biết bất kỳ quy tắc nào thỏa mãn điều kiện.

PS: Tôi biết câu hỏi này không có gì mới. Nhưng trên thực tế, tôi đã không tìm thấy bất cứ điều gì giúp đỡ. Vì vậy, hãy giúp tôi!

Đầu tiên ! là ký hiệu KHÔNG.

iptables -A INPUT -p tcp -m tcp -m multiport ! --dports 80,443 -j DROP

Thứ hai, các quy tắc bạn đã viết có thể không có kết quả mong đợi. Bạn bỏ mọi thứ, kể cả phản hồi với kết nối trên cổng 80. Do đó, bạn sẽ không thể kết nối với nó cho mục đích của máy chủ web.

Các quy tắc này cho phép các kết nối LIÊN QUAN và THÀNH LẬP để máy chủ web hoạt động, nếu đó thực tế là những gì bạn đang cố gắng thực hiện.

iptables -A INPUT -p tcp -m tcp -m multiport --dports 80,443 -j ACCEPT
<insert further allowed list here>
iptables -A INPUT -m conntrack -j ACCEPT  --ctstate RELATED,ESTABLISHED
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j DROP
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -j DROP
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -j DROP

# Set the default policy of the INPUT chain to DROP
iptables -P INPUT DROP

# Accept incomming TCP connections from eth0 on port 80 and 443
iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT

Điều này sẽ cung cấp cho bạn những gì bạn cần

Bạn có thể đặt hành động mặc định của mình thành DROP, sau đó tạo quy tắc ngoại lệ để cho phép 80 và 443, như vậy:

# Setting default policies:
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Exceptions to default policy
iptables -A INPUT -p tcp --dport 80 -j ACCEPT       # HTTP
iptables -A INPUT -p tcp --dport 443 -j ACCEPT      # HTTPS

iptables sẽ đi qua danh sách 'ngoại lệ' cho đến khi tìm thấy kết quả khớp. Sau đó, nó sẽ thực hiện hành động được chỉ định bởi -jtham số (ACCEPT trong trường hợp này). Nếu không tìm thấy kết quả khớp, nó sẽ quay lại chính sách mặc định và bỏ gói.

Lưu ý rằng với cách giải quyết này, mọi tên miền phụ sẽ bị khóa. Ví dụ: với phương pháp này, bạn sẽ làm cho nó hoạt động trên www.mydomain.com, nhưng tên miền phụ của bạn giả sử www.sub.mydomain.com sẽ không mở cho các lỗi DNS.