IPTables: autoriser uniquement l'accès SSH, rien d'autre vers l'intérieur ou vers l'extérieur

Comment configurer iptables afin qu'il ne permettra SSH et permettre à aucun autre trafic ou à l' extérieur ?

Des précautions de sécurité que n'importe qui peut recommander?

J'ai un serveur qui, je crois, a été migré avec succès de GoDaddy et je crois qu'il n'est plus utilisé.

Mais je veux m'en assurer juste parce que ... on ne sait jamais. :)

Notez qu'il s'agit d'un serveur virtuel dédié de GoDaddy ... Cela signifie aucune sauvegarde et pratiquement aucun support.

Vous devez simplement définir la stratégie par défaut sur DROP sur les chaînes INPUT et OUTPUT.

Pour autoriser SSH, vous avez besoin des commandes suivantes:

$ sudo iptables -P INPUT DROP
$ sudo iptables -P OUTPUT DROP
$ sudo iptables -A INPUT -i lo -j ACCEPT
$ sudo iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
$ sudo iptables -A OUTPUT -o lo -j ACCEPT
$ sudo iptables -A OUTPUT -p tcp --sport 22 -m state --state ESTABLISHED -j ACCEPT

Les deux dernières commandes autorisent le trafic de bouclage car certaines applications l'exigent pour fonctionner correctement. Vous pouvez restreindre l'accès SSH à partir d'une adresse IP spécifique à l'aide de l' -s source_ipoption.

L'exécution des commandes dans l'ordre indiqué ci-dessus entraînera le blocage de votre session SSH actuelle. En effet, les commandes iptables prennent effet immédiatement. Vous devez les exécuter dans un script shell pour éviter de perdre la possibilité de vous connecter à votre machine lors de leur exécution à distance.

Quelque chose comme ça:

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -j REJECT  # or iptables -P INPUT DROP

iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -j REJECT # or iptables -P OUTPUT DROP