Comment bloquer tous les ports sauf 80 443 avec iptables? [dupliquer]

Le blocage de tous les ports (entrants et sortants) est facile mais difficile avec le mot «sauf». Je ne connais aucune règle qui remplisse la condition.

PS: Je sais que cette question n'a rien de nouveau. Mais en fait, je n'ai rien trouvé d'aide. Alors, aidez-moi pls!

Premièrement les ! est le symbole NOT.

iptables -A INPUT -p tcp -m tcp -m multiport ! --dports 80,443 -j DROP

Deuxièmement, les règles que vous avez écrites peuvent ne pas avoir les résultats escomptés. Vous supprimez tout, y compris la réponse à la connexion sur le port 80. Par conséquent, vous ne pourrez pas vous y connecter, dit-il à des fins de serveur Web.

Ces règles autorisent les connexions RELATED et ESTABLISHED, donc un serveur Web devrait fonctionner, si c'est en fait ce que vous essayez de faire.

iptables -A INPUT -p tcp -m tcp -m multiport --dports 80,443 -j ACCEPT
<insert further allowed list here>
iptables -A INPUT -m conntrack -j ACCEPT  --ctstate RELATED,ESTABLISHED
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j DROP
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -j DROP
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -j DROP

# Set the default policy of the INPUT chain to DROP
iptables -P INPUT DROP

# Accept incomming TCP connections from eth0 on port 80 and 443
iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT

Cela devrait vous donner ce dont vous avez besoin

Vous pouvez définir votre action par défaut sur DROP, puis créer des règles d'exception pour autoriser 80 et 443, comme suit:

# Setting default policies:
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Exceptions to default policy
iptables -A INPUT -p tcp --dport 80 -j ACCEPT       # HTTP
iptables -A INPUT -p tcp --dport 443 -j ACCEPT      # HTTPS

iptables parcourra la liste des «exceptions» jusqu'à ce qu'il trouve une correspondance. Il effectuera alors l'action spécifiée par le -jparamètre (ACCEPTER dans ce cas). S'il ne trouve pas de correspondance, il reviendra à la politique par défaut et supprimera le paquet.

Notez qu'avec cette solution de contournement, tous les sous-domaines seront verrouillés. Par exemple, avec cette méthode, vous pourrez la faire fonctionner sur www.mydomain.com, mais votre sous-domaine, disons que www.sub.mydomain.com ne s'ouvrira pas pour les erreurs DNS.