Debian/Ubuntu - IPtables - при изменении политики входящего подключения не работают исходящие

[__sa__nya]

Цитата __sa__nya:



Сейчас ситуация, что точно пускает ping, хотя явного разрешающего правила нет. Почему так ?

Debian/Ubuntu - IPtables - при изменении политики входящего подключения не работают исходящие

А сейчас не пускает... Видимо активная сессия была на момент применения команд, и ее не рубануло сразу ?

[__sa__nya]

Цитата __sa__nya:



Видимо активная сессия была на момент применения команд, и ее не рубануло сразу?

Debian/Ubuntu - IPtables - при изменении политики входящего подключения не работают исходящие

После изменения правил файрволла, полезным бывает перезапускать сетевые интерфейсы.

Но Вам, сначала, надо увидеть разницу в приведённых и введённых правилах.

[__sa__nya]

Здравствуйте. Вернулся к по-прежнему актуальной для меня теме.




Цитата NickM:



Цитата __sa__nya:

iptables -P INPUT ACCEPT »

Код:

iptables -A INPUT -P ACCEPT

Debian/Ubuntu - IPtables - при изменении политики входящего подключения не работают исходящие

- Не работает такая команда:

как вставить картинку на сайт

[__sa__nya]

NickM, можете мне объяснить суть команды "iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT " ? Я по описанию понял что она нужна для соединений ESTABLISHED, RELATED, но, как написано в справке, например

здесь

:




Цитата:



ESTABLISHED — соединение установлено, пришел уже не первый пакет в рамках этого сеанса. При правильной настройке iptables — такие пакеты проходят по системе без фильтрации, поскольку она уже была выполнена для первого пакета соединения;



Т.е., я понял это так, что если правила правильно настроены, то без этой команды никуда. Я не смог настроить с помощью тех команд которые вы прислали, т.к. после них по-прежнему нет исходящих соединений. Вернулся обратно к тому, что поставил политику для INPUT в DROP. Далее, как я понимаю, чтобы правильно все заработало, мне нужно для каждого, нужного исходящего соединения на серверер, прописать правило для входящего соединения ( когда сервер получает ответ, чтобы этот ответ не отбрасывался). Вопрос: как это сделать ? Например, как сделать соединения для возможности исходящих соединений для DNS, ping, http, https ?

[__sa__nya]

Цитата __sa__nya:



можете мне объяснить суть команды

Debian/Ubuntu - IPtables - при изменении политики входящего подключения не работают исходящие

Объяснять Своими словами наверное не стоит, а прочитать, о том, что писал чуть выше можно, например,

здесь

.



Отмечу, что у Себя использую отличную от указанной в сабже системы и в Моём случае все правила iptables статичные и лежат/ настраиваются через файлы, а не ввод команд.

[__sa__nya]

Цитата NickM:



Объяснять Своими словами наверное не стоит, а прочитать, о том, что писал чуть выше можно, например, здесь.

Debian/Ubuntu - IPtables - при изменении политики входящего подключения не работают исходящие

- Ясно. Пойду учиться

Про настройку через файлы. Я сейчас просто имею нулевой опыт в Linux'е. И, как говорится - какую справку нашел, по такой и пробую . Но буду иметь ввиду что через файлы можно.

[__sa__nya]

Решил вопрос следующим образом.

1. Меняю политику по умолчанию в цепочке INPUT с ACCEPT на DROP: iptables --policy INPUT DROP

2. Делаю правило разрешения соединений с состояниями established, related: iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

3. Для каждого неработающего исходящего подключения, делаю разрешающее правило входящего подключения. Например, для успешного получения компом ДНС-запросов делаю:



Iptables -A INPUT -p tcp --dport 53 -j ACCEPT

Iptables -A INPUT -p udp --dport 53 -j ACCEPT

И т.д. по другим соединениям. Исходящие http и https например работают сразу.

4. Сохраняю правила.

Apt install iptables-persistent

Service netfilter-persistent save



После этой настройки все на сервере работает как мне надо.