IPtables 阻止 SSH，即使它被隐式启用？

Question

我在处理以下 iptables 条目时遇到问题。我想停止服务器与外部世界的通信，除了 ssh，但是当我输入第四个命令 (iptables -P OUTPUT DROP) 时，我失去了我的 SSH 连接，即使我让它保持打开状态。任何帮助将不胜感激？

iptables -A INPUT -p tcp -m conntrack --ctstate RELATED,ESTABLISHED --dport ssh -j ACCEPT  
iptables -A OUTPUT -p tcp -m conntrack --ctstate RELATED,ESTABLISHED --dport ssh -j ACCEPT
iptables -A FORWARD -p tcp -m conntrack --ctstate RELATED,ESTABLISHED --dport ssh -j ACCEPT
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

谢谢

Answer 1

改为尝试，在第 2 行：

iptables -A OUTPUT -p tcp -m conntrack --ctstate ESTABLISHED --sport ssh -j ACCEPT

假设当你说“从除SSH与外界通信停止服务器”，你的意思是“来自除通过ssh与服务器通信阻止世界”，然后出站包是从SSH服务器等都具有--sport 22不DPORT .

如果你真的这样做意味着你应该只能够讲从服务器到通过ssh的世界，那么1号线应该具有--sport相反，作为输入数据包是那些从ssh服务器来。

如果您希望 ssh 双向工作，则需要更复杂的规则。如果您想允许新的ssh 连接，而不仅仅是在放置规则集时打开的连接，您将需要更复杂的规则。