Как закрыть все порты в iptables кроме 25565?

Question

[Alexander777xx]

Здравствуйте! У меня есть игровой сервер и на нем необходимо закрыть в iptables абсолютно все порты кроме 25565.
Порт 25565 нужен для подключения игроков к серверу. Как это сделать?

Answer 1

[Александр Аксентьев]

iptables -A INPUT -p tcp -m tcp -m multiport ! --dports 25565 -j DROP

перед тем как добавите это правило, вспомните что вы подключены к серверу по ssh через 22 порт.
Сайт возможно работает на 80/443.
А фтп для доступа к сайту на 21, если он есть.

Comments

[Alexander777xx]

Спасибо огромное, а еще такой вопрос:

А если так прописать, то это тоже самое получается?
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -A INPUT --dport 25565 -j ACCEPT
iptables -A INPUT --dport 21 -j ACCEPT
iptables -A INPUT --dport 22 -j ACCEPT

[Сергей]

В начале разрешающий правила, а только потом запрещающие.
Иначе вы себе запретите всё и на этом закончится ваше общение с сервером.

И после каждой перезагрузки сервера все правила будут сброшены, поставьте задачу в крон.

[Александр Аксентьев]

Alexander777xx, да выглядит так же.

Сначала всё закрываете, а потом открываете несколько портов.

iptables -A INPUT -p tcp -m tcp -m multiport ! --dports 25565,80,443 -j DROP

в данном случае ! это оператор NOT, и будут закрыты как раз все порты кроме тех что в списке.

[Alexander777xx]

Александр Аксентьев, Аа ок, спасибо огромное!!!

[Максим Гришин]

Сергей, от этого спасает yum install iptables-service и периодическое выполнение service iptables save (хотя и костыль немного, вызывает iptables-save в /etc/sysconfig/iptables, откуда он его восстанавливает при перезагрузке).
Alexander777xx, убрать -P OUTPUT DROP, иначе с сервера ничего нельзя будет открыть (в том числе обновить систему!), ну или добавлять отдельно какие-то правила в OUTPUT тоже. Да, если policy стоит DROP, можно в открытом виде не задавать запрещающих правил, все равно по умолчанию подропается.

Answer 2

[cssman]

sudo iptables -A INPUT -p tcp -s subnet/mask --dport 25565 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 25565 -m conntrack --ctstate ESTABLISHED -j ACCEPT

P.S. subnet/mask - адрес, либо пул адресов вашего сервера
P.P.S. если хотите, в конце можно поставить явный deny all: sudo iptables -P INPUT DROP

Comments

[Максим Гришин]

Вообще, дроп по умолчанию - едва ли не обязательный пункт в настройках файрволла в продакшн. Для отладки можно REJECT-правило писать в конце цепочки для региона локальной сети.