Помощь с Iptables

[Serega555]

Добрый день, знающие люди не могли бы помочь с правилами для Iptables

есть системник (файловая-помойка) работает через роутер с статическим IP 91.215.61.91 (в роутере все порты проброшены, доступ из мира на системник есть)

мне нужно что бы с этих IP был доступ на любые порты

194.147.51.0/24

194.147.50.0/24

92.38.96.0/19

91.215.60.0/22

192.168.0.255/24

Со всех других IP был блок с 22 по 8200 порт

по возможности так же в какой файл сохранить правила, что бы работали после перезагрузки системника, на системнике трудится Debian 9

[Andreios]

Логичнее настроить ограничения на самом роутере. Порты проброшены выборочно?

 

Для сохранения правил - пакет iptable-persistence и юзать iptable-save/restore. В /etc есть файлик в который можно сохранять и из него будет авторестор при ребуте.

[Serega555]

Логичнее настроить ограничения на самом роутере. Порты проброшены выборочно?

 

Для сохранения правил - пакет iptable-persistence и юзать iptable-save/restore. В /etc есть файлик в который можно сохранять и из него будет авторестор при ребуте.

 

локальный IP системника добавлен в DMZ-host с мира при вводе 91.215.61.91 сразу попадаю на системник, роутер стоит Tenda AC6

проще будет убрать эту зону DMZ и настраивать порту в ручную каждый порт какой откуда можно какой нет?

[Andreios]

Эти роутеры я не знаю, может и проще, но вот то что безопаснее - точно. Иначе у вас задача защитить свою систему от всего мира целиком. Есть шансы что-то да упустить, особенно когда опыта настройки такой нет. А в случае с роутер ом, все проще. К тому же если сделать наружу нестандартные порты.

[mmad11]

Могу помочь, если что. Только не сегодня напишу... с телефона не очень удобно. Изменено 23 марта, 2019 пользователем mmad11

[mmad11]

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -i название интерфейса -s адреса локальной сети -j ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -i название интерфейса -s адрес, с которого нужно разрешить -j ACCEPT

iptables -A INPUT -i название интерфейса -m tcp -p tcp --dport 22:8200 -j ACCEPT

apt install iptables-persistent

apt install fail2ban

 

fail2ban - чтобы на 22 порт с меньшей вероятности попали

[Serega555]

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -i название интерфейса -s адреса локальной сети -j ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -i название интерфейса -s адрес, с которого нужно разрешить -j ACCEPT

iptables -A INPUT -i название интерфейса -m tcp -p tcp --dport 22:8200 -j ACCEPT

apt install iptables-persistent

apt install fail2ban

 

fail2ban - чтобы на 22 порт с меньшей вероятности попали

 

Спасибо! подскажите куда всё это можно будет добавить что бы после перезагрузки правила сохранились?

[Serega555]

iptables -P INPUT DROP

iptables -P FORWARD DROP

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -i название интерфейса -s адреса локальной сети -j ACCEPT

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -i название интерфейса -s адрес, с которого нужно разрешить -j ACCEPT

iptables -A INPUT -i название интерфейса -m tcp -p tcp --dport 22:8200 -j ACCEPT

apt install iptables-persistent

apt install fail2ban

 

fail2ban - чтобы на 22 порт с меньшей вероятности попали

iptables -A INPUT -i название интерфейса -m tcp -p tcp --dport 22:8200 -j ACCEPT

разве этой цепочкой я не ставлю разрешения с 22 по 8200 порт?

мне нужно что бы был блок со всех IP по этим портам кроме тех кому можно

[BraVo123]

Тогда там DROP, я тоже сначала по топику понял что нужно разрешить.

Только после Drop, разрешить на все остальные.

Ну или сразу разрешить остальные диапазоны, правила сверху вниз обрабатываются, при срабатывании выходит из цепочки.

Спасибо! подскажите куда всё это можно будет добавить что бы после перезагрузки правила сохранились?

Вот в WiKi пишут - https://wiki.debian.org/iptables

[mmad11]

Блок, в смысле, блокировка? Тогда вместо ACCEPT - REJECT

Я понял так, что блок - блок портов

Изменено 23 марта, 2019 пользователем mmad11

[BraVo123]

Блок, в смысле, блокировка? Тогда вместо ACCEPT - REJECT

Я понял так, что блок - блок портов

 

Сообщение отредактировал mmad11: 23 Март 2019 - 19:47

А в чём разница между DROP и REJECT?

[mmad11]

Drop - просто отбивает, а реджект говорит, что отбивает. При ринге можно увидеть разницу. При дворе будет тишина, типа нет адреса такого, а при реджект он говорит, что оборудование есть, но оно говорит реджект.

[BraVo123]

То есть DROP просто игнорирует, а REJECT культурно посылает :) .

Спасибо.

Надо 53 порт с Reject на Drop, переделать, чтоб трафик не генерило, а то ломятся периодически.

[mmad11]

Ага. Я только дропом и пользуюсь. И fail2ban себе за правило взял.