จะมั่นใจได้อย่างไรว่าพอร์ต SSH เปิดเฉพาะที่อยู่ IP ที่ระบุเท่านั้น

นี่คือของฉัน/etc/sysconfig/iptables:

มันมีสองพอร์ตเปิด 80 apache และ 22 สำหรับ ssh

# Firewall configuration written by system-config-firewall
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

สำหรับพอร์ต 22 (SSH) ฉันต้องการให้แน่ใจว่าไม่มีใครสามารถเชื่อมต่อกับพอร์ตนี้ได้ยกเว้นที่อยู่ IP เฉพาะ

ip ตัวอย่าง:

1.2.3.4

โปรดเพิกเฉยต่อการดูแล / ข้อกังวลใด ๆ เกี่ยวกับสิ่งที่หาก ip ของฉันเปลี่ยนแปลงและฉันไม่สามารถ SSH ไปยังเซิร์ฟเวอร์ของฉันได้อีก

หากฉันได้รับคำถามอย่างถูกต้องคุณต้องการให้เซิร์ฟเวอร์ของคุณสามารถเข้าถึงได้จากที่อยู่ IP เฉพาะในพอร์ต 22 คุณสามารถอัปเดต Iptables ได้:

iptables -A INPUT -p tcp -s YourIP --dport 22 -j ACCEPT

ในกรณีดังกล่าวคุณกำลังเปิดพอร์ต ssh เฉพาะ YourIP หากคุณจำเป็นต้องเปิด DNS สำหรับเครือข่ายภายในของคุณ:

iptables -A INPUT -p udp -s YourIP --dport 53 -j ACCEPT
iptables -A INPUT -p tcp -s YourIP --dport 53 -j ACCEPT

เมื่อคุณเพิ่มและเปิดสำหรับ IP เหล่านั้นคุณจะต้องปิดประตูสำหรับ IP ที่เหลือ

iptables -A INPUT -p tcp -s 0.0.0.0/0 --dport 22 -j DROP
iptables -A INPUT -p udp -s 0.0.0.0/0 --dport 53 -j DROP
iptables -A INPUT -p tcp -s 0.0.0.0/0 --dport 53 -j DROP

(ตรวจสอบให้แน่ใจว่าตั้งกฎไว้ในตำแหน่งที่ถูกต้องในชุดกฎของคุณiptables -A INPUTจะเพิ่มกฎไปยังจุดสิ้นสุดของกฎINPUTตามที่เป็นอยู่ในปัจจุบัน)

หรืออย่างที่โจเอลบอกว่าคุณสามารถเพิ่มกฎได้หนึ่งข้อแทน:

iptables -A INPUT -p tcp ! -s <permittedIP> -j DROP

หรือคุณสามารถตั้งค่านโยบายเริ่มต้นในไฟร์วอลล์ด้วย

iptables -P INPUT DROP

โดยสังเขปดังที่นำเสนอในคำถามนี้เกี่ยวกับ SO :

iptables -A INPUT -p tcp --dport 22 -s YourIP -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

แม้ว่าฉันจะแนะนำให้ใช้กุญแจ SSH ฉันจะให้คำอธิบายแก่คุณ

คุณไม่จำเป็นต้องใช้ IPtables ในสิ่งที่คุณพยายามจะทำมันมีหลายวิธี นี่คือวิธี IPtables:

iptables -I INPUT -s [YOUR_HOME_IP] -p tcp -m tcp --dport [SSH_PORT] -j ACCEPT

[YOUR_HOME_IP] = IP ที่บ้านของคุณ (ตรงไปตรงมาสวย)

[SSH_PORT] = พอร์ตที่คุณรัน SSH บน (โดยค่าเริ่มต้น 22)

iptables -I INPUT -p tcp -m tcp --dport [SSH_PORT] -j REJECT

สิ่งนี้ทำให้แน่ใจว่าไม่มีใครยกเว้น IP ของคุณสามารถเข้าสู่ SSH

sshd_configมีวิธีอื่นซึ่งเป็นโดยการเพิ่มบางสิ่งบางอย่างที่จะเป็น

เพิ่มรายการต่อไปนี้:

AllowUsers root@[YOUR_HOME_IP]
PermitRootLogin without-password

สิ่งนี้ช่วยให้คุณสามารถเข้าสู่ระบบ SSH ในฐานะrootผู้ใช้จาก IP ของคุณโดยไม่ต้องขอรหัสผ่าน

โปรดจำไว้ว่า cronjob ด้วย

iptables -X
iptables -F

อาจสมาร์ทดังนั้นคุณจึงไม่ถูกล็อคออกจากเซิร์ฟเวอร์ด้วย SSH (cronjob จะรีเซ็ต IPtables เพื่อให้คุณเข้าถึงได้อีกครั้ง) หากคุณยังคงมีสิทธิ์เข้าถึงคุณสามารถลบ cronjob และตั้งค่า IPtables ของคุณอีกครั้ง

คำตอบอื่น ๆ ที่ใช้iptables -Iในตัวอย่างของพวกเขาซึ่งมักจะไม่ใช่สิ่งที่คุณควรใช้

iptables จะดำเนินการกฎข้อแรกที่จับคู่ดังนั้นลำดับของกฎจึงมีความสำคัญมาก -Iคือคำสั่ง "insert" และควรใช้กับพารามิเตอร์ index เพื่อระบุตำแหน่งที่อยู่ในรายการของกฎที่กำหนด -Aคือคำสั่ง "ผนวก" ซึ่งจะเพิ่มกฎต่อท้ายรายการ

ในการกระจายบางอย่าง (อาจทั้งหมด) การใช้-Iโดยไม่มีพารามิเตอร์ดัชนีจะเพิ่มกฎในการสร้างดัชนีหนึ่งทำให้เป็นกฎแรกที่ตรวจสอบ ในสถานการณ์สมมตินี้ถ้าคำสั่งสุดท้ายที่คุณเรียกใช้คือiptables -I INPUT -s tcp 0.0.0.0/0 -j DROPiptables จะลดทราฟฟิกทั้งหมดไม่ว่าคุณจะมีACCEPTกฎใด ๆในภายหลังหรือไม่ก็ตาม

นี่คือตัวอย่างของการตั้งค่ากฎที่อนุญาต SSH จาก IP เดียว:

เริ่มต้นโดยไม่มีกฎ:

#> iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

เพิ่มกฎ "อนุญาต SSH ใหม่จาก 1.2.3.4" ใหม่:

#>iptables -A INPUT -p tcp -s 1.2.3.4 --dport 22 -j ACCEPT

บล็อก SSH จาก IP อื่น ๆ ทั้งหมด:

#>iptables -A INPUT -p tcp -s 0.0.0.0/0 --dport 22 -j DROP

ตอนนี้ห่วงโซ่การป้อนข้อมูลของคุณจะมีลักษณะ:

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  1.2.3.4              0.0.0.0/0            tcp dpt:22
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22

ในภายหลังหากคุณต้องการอนุญาต IP ที่สองในรายการที่อนุญาตพิเศษคุณสามารถใช้-Iพารามิเตอร์เพื่อวางไว้ก่อนกฎบัญชีดำ

#>iptables -I INPUT 2 -p tcp -s 4.3.2.1 --dport 22 -j ACCEPT

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  1.2.3.4              0.0.0.0/0            tcp dpt:22
ACCEPT     tcp  --  4.3.2.1              0.0.0.0/0            tcp dpt:22
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22

โปรดสังเกตว่าการใช้-I INPUT 2เพิ่มกฎใหม่เป็นกฎหมายเลข 2 และกระแทกกฎ DROP เป็นหมายเลข 3