1

Сервер Ubuntu 16.04 + fail2ban + iptables. На сервере куча сайтов PHP + MySQL (c SSL и без).

Задача закрыть все порты, кроме портов 80 для сайтов без SSL, 443 для сайтов в SSL таким образом, чтобы сайты были доступны для пользователей из вне, а все сервисы сервера закрыты для "злоумышленников".

fail2ban хорошо справляется с брутфорсом (в данный момент временно заблокировано около 700 штук IP-адресов). Но хотелось бы полностью заблокировать доступ к серверу для всех без возможности перебора паролей.

Идея такая: добавить в начало цепочки INPUT iptables

iptables -I INPUT 1 -s 123.123.123.123 -j ACCEPT
iptables -I INPUT 2 -p tcp --dport 22 -j ACCEPT
iptables -I INPUT 3 -dport !80,443 -j REJECT

Первой строкой разрешаем все входящие пакеты с моего домашнего IP-адреса.

Второй строкой делаем исключение для SSH разрешаем доступ к порту 22 для всех. Для всех потому что хоть у меня и белый IP, но провайдер может в будущем поменять мой IP-шник по своему усмотрению и я могу потерять доступ к серверу, если закрою порт 22 для всех.

Третей строкой для всех (если не сработали два правила выше) закрываем все порты кроме веб (80 - http и 443 - https). REJECT (вместо DROP) - для того, чтобы не висели открытые соединения, а отправлялись обратно служебные сообщения о недоступности порта (согласно документации iptables).

Вопросы:

Верны ли мои рассуждения?

Нужно ли прописывать отдельное правило для localhost/127.0.0.1 чтобы PHP имел доступ к базам mySQL да и вообще внутри сервера без ограничений?

Что еще не предусмотрел, для корректной работы Ubuntu в качестве веб-сервера сайтов? Возможно браузеры пользователей и поисковые системы используют еще какие-то порты о которых я не знаю...

Некоторые скрипты на сервере используют PHP-команду copy. Будет ли она корректно работать, если в цепочке INPUT для iptables открыты только порты 22,80,443?

1 ответ 1

4

Обычно устанавливают policy (поведение по умолчанию). Стандартная конфигурация выглядит приблизительно как то так (в формате iptables-save)

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]

# Default setup
-A INPUT -p icmp -j ACCEPT -m comment --comment "Allow ICMP"
-A INPUT -i lo -j ACCEPT -m comment --comment "Allow local"
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT -m comment --comment "Allow established connections"
-A INPUT -p tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --reject-with tcp-reset
-A INPUT -p tcp ! --syn -m state --state NEW -j DROP -m comment --comment "New not syn"

# Services
-A INPUT -p tcp --dport 22 -j ACCEPT -m comment --comment "ssh access"
-A INPUT -p tcp --dport 80 -j ACCEPT -m comment --comment "http access"
-A INPUT -p tcp --dport 443 -j ACCEPT -m comment --comment "https access"
COMMIT

Рассуждения правильные, но принято действовать "запретить всё по умолчанию, кроме..."

lo интерфейс прописать надо, хотя бы потому что "явно описанное лучше неявного поведения по умолчанию"

Нет, других портов не используется, если это явно нигде не прописано

Да, copy должно работать штатно

4
  • для чего нужны "Allow ICMP" и ...tcp-flags SYN,ACK SYN,ACK... ?
    – user305545
    12 ноя 2019 в 10:28
  • 1
    ICMP - для пинга, tcp-flags... - разрешает только "правильные" новые соединения
    – Sheridan
    12 ноя 2019 в 10:51
  • я правильно понимаю, что это нужно прописать для iptables и тоже самое для ip6tables? Так как первый работает только с IPv4?
    – user305545
    12 ноя 2019 в 11:15
  • Да, ip6tables - отдельно. Если есть желание всё-в-одном и поразбираться с новым - велкам в nftables
    – Sheridan
    12 ноя 2019 в 11:18

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.