Почему не срабатывают настройки iptables?

Question

[diman55]

Всем привет, захотел я запретить доступ по SSH Всем кроме своего ип. В инете нашел инфу, что это можно сделать через iptables и собственно вот правила:

iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp -s YOU IP (да тут я писал свой ип) -m tcp --dport 22 -j ACCEPT
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Стоит у меня iptables-persistent в конфигах вроде все четко сделал. По крайней мере при рестарте сервиса iptables-persistent не было [fail] но я по прежнему оставался в терминале (там где YOU IP я вводил ип своего второго VDS чтобы проверить выкинет ли меня с терминала) Так же пробовал напрямую вводить эти команды в терминал, не было никаких ошибок и я по прежнему оставался в консоли.

Знающие люди, помогите пожалуйста. Мне нужно запретить всем доступ кроме 2-3 ип.

Comments

[lexa322]

У вас в примере нет ни одного запрещающего правила. Можно убрать два верхних правила и написать что то вроде iptables -A INPUT -p tcp -s !1.2.3.4 --dport 22 -j DROP (запретить 22 порт кроме адреса 1.2.3.4)

Answer 1

[CityCat4]

iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

Берете доку по iptables и переводите, что написали, на русский:

Если порт назначения 22, то пакет принять. Точка Никаких условий про ограничение доступа нет.

Сделать можно например вот так (предварительно нужно поставить ipset, если не установлен, создать сет setname, где перечисляются нужные IP, например вот так:

create setname hash:ip family inet hashsize 1024 maxelem 65536 
add setname 1.2.3.4
add setname 1.3.4.5

)

-A INPUT -p tcp --dport 22 -m set --match-set setname src -j ACCEPT
-A INPUT -p tcp --dport 22 -j DROP

Comments

[krosh]

Человек не смог разобраться с простыми правилами в iptables, а Вы еще усложняете ему условия. Для 2-3 адресов вполне можно обойтись без ipset.

[CityCat4]

krosh: Как показывает практика - сначала там 2-3, потом 5-10 и т.д. Не, ну можно и без ipset:

-A INPUT -p tcp --dport 22 -s 1.2.3.4 -j ACCEPT
-A INPUT -p tcp --dport 22 -s 1.3.4.5 -j ACCEPT
...и таких правил столько сколько адресов разрешать, в -s задается IP...
-A INPUT -p tcp --dport 22 -j DROP

Answer 2

[krosh]

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -s IP_ADDR -j ACCEPT
... дополнительные правила
iptables -P INPUT DROP