Установка и конфигурирование брандмауэра

При разрешении Установленных Сессий Мы можем позволить установленным сессиям получать трафик:

sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Если строка выше не работает, можно быть на кастрируемом VPS, поставщик которого не сделал доступным расширение, в этом случае нижняя версия может использоваться в качестве последнего средства:

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Разрешение входящего трафика на определенных портах

sudo iptables -A INPUT -p tcp --dport ssh -j ACCEPT

Блокирование трафика

sudo iptables -A INPUT -j DROP

Включение обратной петли путем редактирования iptables:

sudo iptables -I INPUT 1 -i lo -j ACCEPT

Журналирование нежелательного трафика:

sudo iptables -I INPUT 4 -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7

Чтобы подтвердить, что изменения были успешно внесены:

iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh
LOG        all  --  anywhere             anywhere             limit: avg 5/min burst 5 LOG level debug prefix "iptables denied: "
DROP       all  --  anywhere             anywhere

Использовать iptables -L -v получить больше деталей:

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 ACCEPT     all  --  lo     any     anywhere             anywhere
    0     0 ACCEPT     all  --  any    any     anywhere             anywhere            state RELATED,ESTABLISHED
    0     0 ACCEPT     tcp  --  any    any     anywhere             anywhere            tcp dpt:ssh
    0     0 LOG        all  --  any    any     anywhere             anywhere             limit: avg 5/min burst 5 LOG level debug prefix "iptables denied: "
    0     0 DROP       all  --  any    any     anywhere             anywhere

Пустой iptables:

iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X

Сохранение iptables

Если бы необходимо было перезагрузить машину прямо сейчас, то iptables конфигурация исчезла бы. Вместо того, чтобы вводить этот каждый раз, когда Вы перезагружаете, однако, можно сохранить конфигурацию и иметь ее, запускают автоматически.

Сохраните свои правила брандмауэра в файл

sudo sh -c "iptables-save > /etc/iptables.rules"

Сценарий/etc/network/if-pre-up.d/iptablesload будет содержать:

#!/bin/sh
iptables-restore < /etc/iptables.rules
exit 0

и/etc/network/if-post-down.d/iptablessave будет содержать:

#!/bin/sh
iptables-save -c > /etc/iptables.rules
if [ -f /etc/iptables.downrules ]; then
   iptables-restore < /etc/iptables.downrules
fi
exit 0

Затем обязательно дайте оба сценария, выполняют полномочия:

sudo chmod +x /etc/network/if-post-down.d/iptablessave
sudo chmod +x /etc/network/if-pre-up.d/iptablesload

Источник