[완료] iptables 설정좀 봐주세요.
기본정책이 일단 모두 막고
필요한걸 여는겁니다.
아래 정책이 어떠한 문제가 되는건가요?
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -A INPUT -p ALL -i lo -j ACCEPT
iptables -A OUTPUT -p ALL -o lo -j ACCEPT
iptables -A INPUT -p TCP --destination-port 22 -j ACCEPT
iptables -A OUTPUT -p TCP --source-port 22 -j ACCEPT
iptables -A INPUT -p TCP --destination-port 21 -j ACCEPT
iptables -A OUTPUT -p TCP --source-port 21 -j ACCEPT
iptables -A INPUT -p ICMP --icmp-type 8 -j ACCEPT
iptables -A OUTPUT -p ICMP -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p ICMP --icmp-type 8 -j ACCEPT
iptables -A INPUT -p ICMP -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p UDP --destination-port 53 -j ACCEPT
iptables -A INPUT -p UDP --source-port 53 -j ACCEPT
iptables -A OUTPUT -p TCP --destination-port 53 -j ACCEPT
iptables -A INPUT -p TCP --source-port 53 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p TCP --destination-port 80 -j ACCEPT
iptables -A OUTPUT -p TCP --source-port 80 -j ACCEPT
iptables -A INPUT -p TCP --destination-port 20 -j ACCEPT
iptables -A OUTPUT -p TCP --source-port 20 -j ACCEPT
그리고 여기서 mysql 로컬 접속을 위한 3306 을 열어야 되는데
그냥 위 방식처럼 로컬에 대한 3306 ACCEPT 같은 방식으로 주면
정책이 일단 전부 막고 필요한것만 여는것이기 때문에
랜덤포트를 쓰게 되서 느려지게 되니 그냥 위와 같은 방식으로
주면 안된다고 하는데 이건 또 무슨 소리인지 모르겠습니다.
지금 열심히 공부하고 찾아보고 있는데 기초가 많이 부족해서 힘이 드네요.
조언 부탁드립니다.
지금 관련 자료를
지금 관련 자료를 보다가 발견했습니다.
위 설정이 어떻게 되죠?
INPUT, OUTPUT 모든것을 DROP 했는데 그 다음 ACCEPT 가 될리가 없지 않습니까?
상위 룰에 걸려 하위룰이 보이지 않게되니까요
근데 문제는 저게 지금 됩니다! ssh 접속이 되니까요.
희한하네요.
필요한 것만 ACCEPT 하고 그외에 모든것을 DROP 해야 되는거 아닌가요?
아래는 /etc/sysconfig/iptables
파일 내용 입니다.
*filter
:INPUT DROP [6:817]
:FORWARD ACCEPT [0:0]
:OUTPUT DROP [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 21 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -p icmp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p udp -m udp --sport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --sport 53 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 20 -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 22 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 21 -j ACCEPT
-A OUTPUT -p icmp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 80 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 20 -j ACCEPT
COMMIT
SSH 되는 것이
SSH 되는 것이 정상입니다.
INPUT 에 dport 22 가 accept 이고 OUTPUT 에 sport 22 가 accept 이기 때문이죠.
랜덤한 포트가 할당이 되는 것은 서버가 아니라 클라이언트이기 때문입니다.
룰을 보면 icmp 에 대해서 state 모듈을 사용했는데 state 모듈은 tcp 모듈에서 많이 사용합니다.
state 모듈을 사용하고자 한다면, 아래 링크에서 three-way handshake 에 대해서 한 번 살펴보시구요.
http://www.3wayhandshake.com/
man 페이지와 netfilter 홈페이지에서 관련 문서를 찾아보시길 추천해 드립니다.
댓글 달기