環境
- CentOS release 6.4 (Final)
- iptables.i686 1.4.7-9.el6
方針
以下の大原則に従う設定を作ることとする。
- 自ホストからの通信は通してやる。
- 外からのpingは通してやる。
- 外からのSSHは通してやる。
- それ以外の外からの通信は受け付けない。
- 外へ出ていく通信はすべて通す。
手順
まず、外からのすべての通信を受け付けないようにする。
外からの通信(INPUT, FORWARD)をすべてDROPする。そのあとで通すものを書いていくホワイトリスト方式とする。
中から外へ出ていく通信はすべて通してやる。
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
確立済みの通信は通してやる。
どこから来たのか、どのポート宛てなのか、は気にせず、すでに確立済みなら通してやる。要するに、これに続く記述で通信を確立させるかどうかを設定してやる。
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
pingは通してやる。
プロトコルがICMPなら通してやる。
-A INPUT -p icmp -j ACCEPT
ループバックは通してやる。
自ホストからの通信は問答無用で全部通してやる。
-A INPUT -i lo -j ACCEPT
SSHは通してやる。
他ホストからSSH接続はするので、宛先が22番ポートなら通してやる。当然、SSH側のセキュリティ（パスワードログインさせないとか、rootログインさせないとか）はそちらで別途設定すること。
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
SSH以外のサービスのためのポートを開ける場合はこれを真似して追加していく。例えば、HTTP(80)ならこんな感じで。
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
全体はこんな感じで。
/etc/sysconfig/iptables
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
COMMIT
iptablesを再起動して設定を反映させる。
rootでね。
/etc/init.d/iptables restart