[server] 하나의 도메인으로 만 HTTP 트래픽을 허용하는 iptables 규칙

IPTables 규칙을 사용하면 주문이 중요합니다. 규칙이 순서대로 추가되고 적용됩니다. 또한 규칙을 수동으로 추가하면 즉시 적용됩니다. 따라서 예제에서 기본 정책이 설정 되 자마자 INPUT 및 OUTPUT 체인을 통과하는 모든 패킷이 삭제되기 시작합니다. 또한 실수로 오류 메시지가 표시됩니다. 무슨 일이 일어나고 있습니까 :

1. 기본 DROP 정책이 적용됩니다
2. IPTables는 호스트 이름을 대상으로받습니다.
3. IPTables가 ‘serverfault.com’에서 DNS 조회를 시도합니다
4. DNS 조회는 DROP 작업에 의해 차단됩니다

소스 / 대상 옵션은 호스트 이름을 허용하지만 사용하지 않는 것이 좋습니다. 매뉴얼 페이지를 인용하면

호스트 이름은 규칙이 커널에 제출되기 전에 한 번만 해결됩니다. DNS와 같은 원격 쿼리로 해결할 이름을 지정하는 것은 실제로 나쁜 생각입니다.

Slillibri는 그의 대답에 따라 머리에 못을 박았으며 DNS 수락 규칙을 놓쳤습니다. 귀하의 경우 중요하지 않지만 일반적으로 프로세스 후반에 기본 정책을 설정합니다. 마지막으로 원하는 것은 원격으로 작업 하고 기본 거부를 켠 후 SSH 를 허용 하는 것입니다.

또한 배포에 따라 시작시 자동으로 적용되도록 방화벽 규칙을 저장할 수 있어야합니다.

모든 것을 알고 스크립트를 다시 정렬하면 여기에 내가 추천하는 것이 있습니다.

# Allow loopback
iptables -I INPUT 1 -i lo -j ACCEPT

# Allow DNS
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

# Now, allow connection to website serverfault.com on port 80
iptables -A OUTPUT -p tcp -d serverfault.com --dport 80 -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# Drop everything
iptables -P INPUT DROP
iptables -P OUTPUT DROP

답변

iptables -A OUPUT -p udp --dport 53 -j ACCEPT