网络服务器的良好 iptables 启动规则？

Question

我正在安装一个新的 centos 5.4 服务器，我想有一套干净的规则让 mu iptables 启动。

什么是好的规则开始？

这是一个好的起点吗：

# Allow outgoing traffic and disallow any passthroughs

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

# Allow traffic already established to continue

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Allow ssh, ftp and web services

iptables -A INPUT -p tcp --dport ssh -i eth0 -j ACCEPT
iptables -A INPUT -p tcp --dport ftp -i eth0 -j ACCEPT
iptables -A INPUT -p udp --dport ftp -i eth0 -j ACCEPT
iptables -A INPUT -p tcp --dport ftp-data -i eth0 -j ACCEPT
iptables -A INPUT -p udp --dport ftp-data -i eth0 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -i eth0 -j ACCEPT

# Allow local loopback services

iptables -A INPUT -i lo -j ACCEPT

# Allow pings

iptables -I INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -I INPUT -p icmp --icmp-type source-quench -j ACCEPT
iptables -I INPUT -p icmp --icmp-type time-exceeded -j ACCEPT

这个规则是什么：

iptables -A INPUT -p tcp --dport domain -i eth0 -j ACCEPT

更新 ：

它将是一个带有 FTP（必需）、apache、SSH、mysql 的 Web 服务器。

Answer 1

您的 IPTables 规则似乎最适合您的服务器。但我会建议一些可能的改变：

• 除非您需要允许来自整个 Internet 的 SSH、MySQL 和 FTP 访问，否则使用“--source”选项来限制仅来自某些批准的 IP 地址对这些端口的访问会更安全。例如，要仅允许来自 IP 地址 71.82.93.101 的 SSH 访问，您需要将第 5 条规则更改为“iptables -A INPUT -p tcp --dport ssh --source 71.82.93.101 -i eth0 -j ACCEPT”。您可能需要为要允许的每个单独的 IP 地址添加单独的规则，请参阅此问题以获取更多信息：iptables multiple source IPs。

• 除非这台机器正在运行 DNS 服务器，否则您可能希望阻止对“域”(53) 端口的访问。为此，只需删除“iptables -A INPUT -p tcp --dport domain -i eth0 -j ACCEPT”这一行。（这也应该回答您的最后一个问题，顺便说一句。）但是，如果您实际上正在运行 DNS 服务器，请保留此规则。

• 如果您需要允许远程 MySQL 客户端通过网络访问，则需要添加行 'iptables -A INPUT -p tcp --dport 3306 -i eth0 -j ACCEPT' 以打开对标准 MySQL 端口的外部访问. 但是除非真的有必要，否则不要这样做——如果您只需要本地 MySQL 访问（例如，对于在 Apache 下运行的 PHP 应用程序），则不需要提供远程 MySQL 访问。除非您想冒被黑客攻击的风险，否则如果您向网络开放端口 3306，请确保所有 MySQL 用户帐户都需要强密码，并且您的 MySQL 服务器包是最新的。

• 您的评论之一（“允许 ssh、dns、ldap、ftp 和 Web 服务”）提到了 LDAP 服务，但您的配置中没有这样的规则。当我复制示例配置并修改它时，这种情况经常发生在我身上。它不会影响功能，但我会修复评论，因为误导性评论可能会间接导致您或将来的其他管理员感到困惑。

根据我的经验，很难想出一套完美的 IPTables 规则，但我认为您绝对走在正确的轨道上。另外，祝您在学习更多有关 IPTables 的知识时好运——这些规则起初看起来很复杂，但对于任何 Linux 系统管理员来说，这是一项非常有用的技能。