2

Есть небольшой сервер с сайтом:

apache 8080
nginx 80
mysql 3306
ssh 22

Необходимо закрыть всё, и оставить только 22 и 80.

Делаю как указано ниже:

iptables -A INPUT -p tcp -m tcp -m multiport --dports 80,22 -j ACCEPT
iptables -A INPUT -m conntrack -j ACCEPT  --ctstate RELATED,ESTABLISHED
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j DROP
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -j DROP
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -j DROP

В итоге всё работает, но появляются дикие тормоза. Сайт долго чего-то ждет, а потом грузится(и не всегда), без этих правил работает шустро. В этом и вопрос.

3 ответа 3

2

Возможно, тормозит DNS (не уверен, что он нужен веб-сайту, но всё же). Разрешите исходящие на UDP порт 53 (можно и на TCP порт 53).

Кроме того, откройте входящие и исходящие на интерфейсе lo для всех протоколов.

А ещё кроме того, из описанного непонятно, зачем у вас правила в FORWARD.

1
2

iptables -A OUTPUT -j DROP - так делать нельзя, нужно задавать правила по умолчанию:

iptables -P OUTPUT DROP

Читайте документацию, опасно использовать iptables без понимания. У вас:

iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Правило пропускает только уже установленные соединения, новые создать не может, сайт скорее всего к чему то пытается обращаться и подвисает пока не отвалится по тайм ауту.

Можно попробовать такое правило и посмотреть куда и кто пытается подключиться:

 iptables -I OUTPUT -m state -p tcp --state NEW -m limit --limit 1/m --limit-burst 1 -j LOG --log-uid --log-prefix "Outbound Connection:  "
1
  • Спасибо, прописал стандартные правила вот так: iptables -P INPUT DROP iptables -P FORWARD DROP iptables -P OUTPUT ACCEPT(открыл внешку) 25 сен 2018 в 11:01
0

Рабочий конфиг без тормозов:

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p TCP --dport 22 -j ACCEPT
iptables -A INPUT -p TCP --dport 80 -j ACCEPT

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.