IPTables-Regel, um eingehende SSH-Verbindungen zuzulassen

Ziel dieses Skripts ist es, nur Datenverkehr über das VPN zuzulassen, mit Ausnahme von localhost <-> localhost und eingehendem SSH-Datenverkehr. Aber wenn ich das Skript über SSH ausführe, werde ich getrennt und gezwungen, die VM neu zu starten. Was ist los mit meinem Skript?

#!/bin/bash
iptables -F

#Allow over VPN
iptables -A INPUT -i tun+ -j ACCEPT
iptables -A OUTPUT -o tun+ -j ACCEPT

#Localhost
iptables -A INPUT -s 127.0.0.1/8 -j ACCEPT
iptables -A OUTPUT -d 127.0.0.1/8 -j ACCEPT

#VPN
iptables -A INPUT -s 123.123.123.123 -j ACCEPT
iptables -A OUTPUT -d 123.123.123.123 -j ACCEPT

#SSH
iptables -A INPUT -p tcp --dport ssh -j ACCEPT

#Default Deny
iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP

Die Ausgabekette ist für das Ausgehen eines Pakets verantwortlich .

Ihr Skript erlaubt ausgehenden Paketen nur, die Schnittstelle, den lokalen Host und den Remote-Host unter 123.123.123.123 zu tunneln.

Wenn Sie eine Verbindung zum Server herstellen, bei der der SSH-Dämon Pakete an ein anderes Ziel als eines der oben genannten senden muss, darf der Datenverkehr nicht ausgehen.

Um ausgehende Pakete von Ihrem SSH-Daemon zum SSH-Client zuzulassen, müssen Sie die folgende Regel hinzufügen:

iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

Möglicherweise möchten Sie der obigen Regel auch Ziel-IP-Kriterien hinzufügen, wenn Sie nur von einem einzigen Standort aus eine Verbindung herstellen. Diese Regel muss vor der endgültigen Regel "DROP irgendetwas anderes" für die Ausgabekette stehen.

Ihre #SSHRegel impliziert, dass ssh eine Einwegkommunikationsform ist, die es nicht ist. Daten werden hin und zurück gesendet .

Der normale Weg, um damit umzugehen, besteht darin, Verbindungen zuzulassen, die als "hergestellt" oder "verwandt" mit einer hergestellten Verbindung gelten , da Sie die Portnummer auf der Clientseite nicht im Voraus kennen . Dazu benötigen Sie:

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Vor Ihren DROPRegeln (und vorzugsweise ganz oben, da die Regeln in der richtigen Reihenfolge verarbeitet werden und diese beiden für die meisten Pakete gelten).

Es gibt eine Erklärung, wie eine TCP - Verbindung wird hier ; Im Wesentlichen #SSH INPUTmacht es die Tatsache, dass der Server auf das von Ihrer Regel zugelassene Paket antwortet, so.