Je suis assez novice en matière d'iptables, et j'essaie de déterminer si j'ai configuré mon jeu de règles de manière appropriée. En ce qui concerne le -P INPUT ACCEPTER Dans le cadre de ma question, j'essaie de déterminer si cela est valable dans le contexte des règles que je veux appliquer. Veuillez voir ci-dessous pour plus de détails.
J'ai utilisé iptables-restore avec un fichier contenant les règles suivantes. Essentiellement, j'essaie d'autoriser le trafic de bouclage, les connexions établies/liées, SSH et HTTP. Tout autre trafic doit être rejeté.
*filter
:fail2ban-ssh - [0:0]
# Input chain rules
-A INPUT -i lo -j ACCEPT
-A INPUT ! -i lo -s 127.0.0.0/8 -j REJECT
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh
# Reject all other inbound traffic
-A INPUT -j REJECT
# Output chain rules
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp --sport 80 -m conntrack --ctstate ESTABLISHED -j ACCEPT
# Forward chain rules
-A FORWARD -j REJECT
# fail2ban-ssh chain rules
-A fail2ban-ssh -s 146.0.77.33/32 -j REJECT --reject-with icmp-port-unreachable
-A fail2ban-ssh -s 62.75.236.76/32 -j REJECT --reject-with icmp-port-unreachable
-A fail2ban-ssh -j RETURN
COMMITSi je cours iptables -S je reçois le message suivant :
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N fail2ban-ssh
-A INPUT -i lo -j ACCEPT
-A INPUT -s 127.0.0.0/8 ! -i lo -j REJECT --reject-with icmp-port-unreachable
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m multiport --dports 22 -j fail2ban-ssh
-A INPUT -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 80 -m conntrack --ctstate ESTABLISHED -j ACCEPT
-A fail2ban-ssh -s 146.0.77.33/32 -j REJECT --reject-with icmp-port-unreachable
-A fail2ban-ssh -s 62.75.236.76/32 -j REJECT --reject-with icmp-port-unreachable
-A fail2ban-ssh -j RETURNJ'ai fait un peu de lecture sur iptables, et je crois comprendre que les premières lignes (par exemple, " -P INPUT ACCEPTER ") signifie essentiellement que l'action par défaut, si aucune des autres règles ne s'applique, est d'accepter le trafic (dans ce cas, pour l'entrée, le transfert et la sortie).
Si c'est le cas, dois-je mettre explicitement les lignes suivantes dans mon fichier de règles et restaurer iptables à nouveau ?
-P INPUT DROP
-P FORWARD DROP
-P OUTPUT DROPMerci beaucoup par avance à tous ceux qui liront cette question complète ! Elle est un peu longue, mais j'ai pensé qu'il était nécessaire d'inclure tous les détails ci-dessus pour expliquer correctement mon scénario.
