iptables 的一个疑问

[gouchaoer2]

我现在需要设置 iptables 为：允许 22 端口访问，然后禁止外网的访问+允许局域网访问，iptables 如下：

iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh
ACCEPT     tcp  --  localhost/8          anywhere            
ACCEPT     tcp  --  10.0.0.0/8           anywhere            
ACCEPT     tcp  --  172.16.0.0/12        anywhere            
ACCEPT     tcp  --  192.168.0.0/16       anywhere            
DROP       tcp  --  anywhere             anywhere            

Chain FORWARD (policy DROP)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain DOCKER (0 references)
target     prot opt source               destination         

Chain DOCKER-ISOLATION-STAGE-1 (0 references)
target     prot opt source               destination         

Chain DOCKER-ISOLATION-STAGE-2 (0 references)
target     prot opt source               destination         

Chain DOCKER-USER (0 references)
target     prot opt source               destination  

现在问题来了，我设置好之后发现在这台机器上无法 tcp 去访问外网，我先清空 iptables 之后用 wget 先建立 tcp 连接然后 netstat 查看连接如下：

netstat -anp | grep wget
tcp        0      0 172.23.54.173:34670     52.216.134.43:443       ESTABLISHED 7727/wget 

可以看到 wget 的 source 是 172.23.54.173 的内网私有 ip，而这个私有 ip 我在 iptables 里面的ACCEPT tcp -- 172.16.0.0/12 anywhere已经覆盖了啊，为啥我无法 tcp 访问外网啊？

[zbinlin]

加上

```
iptables -t filter -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
```
试试。

另外建议不要使用 rule 来禁止，而是直接设置 policy 为 DROP：

```
iptables -t filter -P INPUT DROP
```

[swsh007]

公网 ip 的话 22 就算了吧
得多少人在那里扫啊
换一个端口

[sodora]

回程被挡了

[wd]

我看你的 forward 是 drop 是这里的问题吧？

[leaflxh]

172.16.0.0 与 255.240.0.0 进行与运算得到的结果是 172.10.0.0
172.23.54.173 与 255.240.0.0 进行与运算得到的结果是 172.20.0.0

[leaflxh]

然后就很尴尬的发现自己算错了....

[julyclyde]

@zbinlin -P 会坑死很多人的

[zbinlin]

@julyclyde 何出此言？

[gouchaoer2]

@zbinlin 不太敢设置默认的 policy 为 DROP，原因很简单，当你设置 policy 为 DROP 的那一瞬间外网的 tcp 流量其实都是断开的，这就意味着你必须保证先设置了允许 22 端口，如果一个不注意 iptables -F 了，那就彻底完蛋了

现在我设置 OK 了，我现在的 iptables -L 如下，我还有个问题，如果别人用 ipv6 的 ip 来访问我是不是我的防火墙就失效了呢？

```
iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- anywhere anywhere ctstate RELATED,ESTABLISHED
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT tcp -- localhost/8 anywhere
ACCEPT tcp -- 10.0.0.0/8 anywhere
ACCEPT tcp -- 172.16.0.0/12 anywhere
ACCEPT tcp -- 192.168.0.0/16 anywhere
DROP tcp -- anywhere anywhere
```

然后这台主机是可以连外网的

[zbinlin]

@gouchaoer2 为什么要用 `iptables -F` 呢？/汗

ipv6 有 `ip6tables` 来设置，规则差不多的。

[zbinlin]

@zbinlin 另外，即使 ssh 被挡了，不是还有 VNC 吗？

[gouchaoer2]

@zbinlin 我 netstat 看了一下，端口没有绑定 ipv6 的地址，似乎不用设置，3q

我用 php 写了一些运维脚本，这些脚本 IMAP 去读取邮件，SMTP 发送邮件，解析邮件增加 ip 白名单，然后去管理代码仓库，做一些备份管理啥的，细节挺多的，花了几天时间。。。。我现在比较满意了