linux – 需要关于iptables的建议

嗨伙计们！ :-).

我需要一些关于我的iptables设置的(几个？)建议.
我是iptables的新手,这是我第一次使用iptables配置服务器作为防火墙(我们没有钱也没有时间预先设置“真正的”防火墙).

我想通过SSH从expert.location.com连接到我的服务器.

因此,我在INPUT中设置了以下规则：

target      in     out     source                       destination
ACCEPT      lo     any     localhost                    anywhere
ACCEPT      any    any     specific.location.com        myserver.local    tcp dpt:ssh

我的默认策略是：

INPUT DROP
FORWARD DROP
OUTPUT ACCEPT

通过第一次配置,我能够连接到我的服务器,但无法到达外部(如google.com),并且连接速度非常慢.

我知道我的防火墙没有任何规则,包括来自数据包的状态“ESTABLISHED”.
实际上,我猜我的数据包能够退出,但不允许回来……

所以我添加了这个规则：

target      in     out     source                       destination
ACCEPT      any    any     anywhere                     anywhere           state ESTABLISHED

现在所有的工作都像魅力,我可以从服务器访问外部,连接速度非常快,我只能通过SSH从specific.location.com访问我的服务器！

我唯一的问题是我需要你的建议,那是一个干净的配置吗？我在网上找不到这样的例子,所以我很想知道……

或者我只是犯了一个巨大的安全错误？

谢谢你们的帮助:-)

解决方法

通常,ESTABLISHED规则实际上是RELATED,ESTABLISHED.它不会影响SSH或HTTP(S),不同之处在于RELATED还包含技术上新的连接,但与现有连接有关,如FTP数据通道通信或ICMP回应答复.

总的来说,你在这里做的很好.