☰

IPv4 iptables는 항목을 차단하지만 출력 정책은 허용됩니다. INPUT DROP 체인에 어떤 문제가 있습니까?

tag-icon • tag-icon networking iptables ipv4 loopback
IPv4 iptables는 항목을 차단하지만 출력 정책은 허용됩니다. INPUT DROP 체인에 어떤 문제가 있습니까?

이것은 내 iptables현재 IPv4 목록입니다.

Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:https

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

사용하려고 하면 apt-getDNS 이름을 IP로 변환하는 데 실패합니다. 이 문제를 어떻게 해결하고 작동하게 만들 수 있나요?

답변1

선택 사항이 아닌 루프백 장치 허용을 놓쳤습니다.

-A INPUT -i lo -m comment --comment loopback -j ACCEPT

이를 첫 번째 규칙으로 추가하면 완료됩니다. 당신을 위한 좋은 폭넓은 설명을 찾았습니다이 장치는 AskUbuntu 등에서 무엇을 나타냅니다..

또한 선택적 단계인 2단계: ICMP 프로토콜 허용:을 권장합니다.

-A INPUT -p icmp -m limit --limit 5/sec --limit-burst 15 -m comment --comment icmp -j ACCEPT

마지막으로, 선택적 단계를 권장합니다. 3단계: SSH 연결을 로컬 네트워크로만 제한하고, 서브넷으로 변경했는지 확인하세요.

-A INPUT -s 192.168.0.0/24 -p tcp -m conntrack --ctstate NEW,ESTABLISHED -m tcp --dport 22 -m comment --comment ssh -j ACCEPT

참고 사항: 몇 시간 후 INPUT DROP 규칙을 사용하면 다음과 같은 DROP 번호가 표시됩니다.

Chain INPUT (policy DROP 8354 packets, 732K bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1     6315  612K ACCEPT     all  --  lo     any     anywhere             anywhere             /* loopback */
2       13  1072 ACCEPT     icmp --  any    any     anywhere             anywhere             limit: avg 5/sec burst 15 /* icmp */
3     190K  697M ACCEPT     all  --  any    any     anywhere             anywhere             ctstate RELATED,ESTABLISHED /* traffic */
4        0     0 ACCEPT     tcp  --  any    any     192.168.0.0/24       anywhere             ctstate NEW,ESTABLISHED tcp dpt:ssh /* ssh */

관련 정보