IPTables: разрешить только доступ по SSH, ничего больше ни в

Как вы настраиваете IPTables так, чтобы он только позволял входить SSH, и не позволял никакой другой трафик входить или выходить ?

Любые меры предосторожности кто-нибудь может порекомендовать?

У меня есть сервер, который, по моему мнению, был успешно перенесен из GoDaddy, и я считаю, что он больше не используется.

Но я хочу убедиться, потому что ... ты никогда не знаешь. :)

Обратите внимание, что это виртуальный выделенный сервер от GoDaddy ... Это означает, что нет резервного копирования и практически нет поддержки.

Вам нужно просто установить политику по умолчанию DROP в цепочках INPUT и OUTPUT.

Чтобы включить SSH, вам понадобятся следующие команды:

$ sudo iptables -P INPUT DROP
$ sudo iptables -P OUTPUT DROP
$ sudo iptables -A INPUT -i lo -j ACCEPT
$ sudo iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
$ sudo iptables -A OUTPUT -o lo -j ACCEPT
$ sudo iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

Последние две команды разрешают петлевой трафик, поскольку это требуется для некоторых приложений для правильной работы. Вы можете ограничить доступ по SSH с определенного IP, используя -s source_ipопцию.

Выполнение команд в порядке, показанном выше, приведет к зависанию текущего сеанса SSH. Это потому, что команды iptables вступают в силу немедленно. Вам необходимо выполнить их в сценарии оболочки, чтобы не потерять возможность подключения к вашей машине при их удаленном выполнении.

Что-то вроде этого:

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -j REJECT  # or iptables -P INPUT DROP

iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -j REJECT # or iptables -P OUTPUT DROP