Quy tắc IPTables cho phép kết nối SSH đến

Mục đích của tập lệnh này là chỉ cho phép lưu lượng truy cập qua VPN, ngoại trừ localhost <-> localhost và lưu lượng SSH đến. Nhưng khi tôi chạy tập lệnh qua SSH, tôi bị ngắt kết nối và buộc phải khởi động lại vm. Có gì sai với kịch bản của tôi?

#!/bin/bash
iptables -F

#Allow over VPN
iptables -A INPUT -i tun+ -j ACCEPT
iptables -A OUTPUT -o tun+ -j ACCEPT

#Localhost
iptables -A INPUT -s 127.0.0.1/8 -j ACCEPT
iptables -A OUTPUT -d 127.0.0.1/8 -j ACCEPT

#VPN
iptables -A INPUT -s 123.123.123.123 -j ACCEPT
iptables -A OUTPUT -d 123.123.123.123 -j ACCEPT

#SSH
iptables -A INPUT -p tcp --dport ssh -j ACCEPT

#Default Deny
iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP

Chuỗi đầu ra chịu trách nhiệm cho bất kỳ gói đi ra ngoài.

Tập lệnh của bạn chỉ cho phép các gói tin đi ra giao diện đường hầm, localhost và máy chủ từ xa tại 123.123.123.123.

Nếu bạn đang kết nối với máy chủ theo cách yêu cầu SSH daemon gửi các gói đến đích ngoài một trong những điều trên, lưu lượng sẽ không được phép đi ra ngoài.

Để cho phép các gói tin đi từ daemon SSH của bạn đến máy khách SSH, bạn cần thêm quy tắc sau:

iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

Bạn cũng có thể muốn thêm tiêu chí IP đích vào quy tắc trên, nếu bạn chỉ kết nối từ một vị trí. Quy tắc này cần phải đi trước quy tắc 'DROP bất cứ điều gì khác' cuối cùng cho chuỗi đầu ra.

#SSHQuy tắc của bạn ngụ ý ssh là một hình thức giao tiếp một chiều, nhưng nó không phải là. Dữ liệu đang được gửi đi và trở lại.

Cách thông thường để giải quyết vấn đề này, vì bạn không thể biết trước số cổng ở phía máy khách, là cho phép các kết nối được coi là "thiết lập" hoặc "liên quan" đến kết nối đã thiết lập. Để làm điều này bạn cần:

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Trước các DROPquy tắc của bạn (và tốt nhất là ở trên cùng, vì các quy tắc được xử lý theo thứ tự và hai quy tắc này sẽ áp dụng cho hầu hết các gói).

Có một lời giải thích về cách kết nối TCP được thành lập ở đây ; về cơ bản, việc máy chủ trả lời gói được cho phép theo #SSH INPUTquy tắc của bạn làm cho nó trở nên như vậy.