论坛徽章:: 0

电梯直达

1楼 [收藏(0)] [报告]

发表于 2015-12-30 14:44 |只看该作者 |倒序浏览

需求：在服务器使用iptables功能，只允许用户访问这台服务器的apache服务，而服务器只能被动接受连接请求，不能主动发起连接。

我的配置：
开启iptables功能，然后先删除/etc/sysconfig/iptables内所有规则，然后存盘退出
输入：
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p -m state --state ESTABLISHED,RELATED -j ACCEPT
service iptables save

然而我不加iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT是根本无法从我真机访问这个linux虚拟机上开启的apache服务主页。
请问各位大神，是需求有错还是另有方法？

服务器, 虚拟机, linux, 用户

文库|博客

seanking1987

家境小康

论坛徽章:: 5

2楼 [报告]

发表于 2015-12-30 17:07 |只看该作者

本帖最后由 seanking1987 于 2015-12-30 17:12 编辑

N年没用iptables了。。。

iptables -P OUTPUT DROP限制了所有出包访问。
任何通信都是双向的，只放通in是不行的。

我不知道现在系统运维iptables都需要做到怎样的程度。
照我个人理解，只要限制IN方向的就行了吧，本服务器OUT的也要限制吗？

实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？

lyhabc

版主

求职 : Linux运维

论坛徽章:: 203

3楼 [报告]

发表于 2015-12-30 18:03 |只看该作者

本帖最后由 lyhabc 于 2015-12-30 18:07 编辑

任何通信都是双向的，只放通in是不行的。          说得有道理
-P :设置默认策略的（设定默认门是关着的还是开着的）
默认策略一般只有两种
iptables -P INPUT (DROP|ACCEPT)  默认是关的/默认是开的
比如：
iptables -P INPUT DROP 这就把默认规则给拒绝了。并且没有定义哪个动作，所以关于外界连接的所有规则包括Xshell连接之类的，远程连接都被拒绝了。

一般我们不设置默认规则的
iptables -P INPUT ACCEPT

我们在最后会加一个
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT  -j DROP

实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？

2897152692

白手起家

论坛徽章:: 0

4楼 [报告]

发表于 2015-12-31 11:14 |只看该作者

感谢回复。
最后我将iptables -A INPUT -p -m state --state ESTABLISHED,RELATED -j ACCEPT改为
iptables -A OUTPUT -p -m state --state ESTABLISHED,RELATED -j ACCEPT
应该算是达到要求了，如果有更好的方法请与我分享。谢谢。