파닥파닥 2013-10

1. 순서는 맞습니다.
  저는 일일히 DROP 을 등록하기 보다는 Default Policy 를 DROP 으로 지정하고 별도로 막는 정책을 안 넣는 편이지만 (대신, 적절한 포트에 한에서 LOG 은 남기도록 합니다) 그거는 개인의 취양이기도 하니..

2. RHEL 이나 CentOS 와 같은 Redhat Clone 들은 /etc/sysconfig/iptables 에 등록하고 iptables 서비스를 on 시켜주면 재부팅 이후에도 정상 적용됩니다.

  Debian 계열은 해당하는 역활의 패키지를 설치하던, 등록해 주는 스크립트를 만들어 Runlevel 에 등록해주던 해야 합니다.

오준호 2013-10

답변 감사합니다.
원격상에서만 처리 해야 한다고 하면 ssh 포트를 먼저 열어주고 Default Policy 를 DROP 해도 원격접속이 유지가 될까요? iptables 는 정책을 설정하면 바로 적용이 된다고 해서 갑자기 막혀 버리면 콘솔들고 찾아가야 해서 겁이 나서 못하겠습니다. 흑흑흑

파닥파닥 2013-10

첫번째나 두번째 룰 정도에서 state match 로 ESTABLISHED 와 RELATED 를 허용해 주면, 이미 붙어있는 세션은 살아있습니다. (물론 SSH 도 state match 걸어줘야 겠지요)

저 같은 경우엔 이렇게 걸어놓습니다.

# iptables -L INPUT -nv --line

Chain INPUT (policy DROP 392 packets, 16540 bytes)
num  pkts bytes target    prot opt in    out    source              destination       
1        2  100 ACCEPT    all  --  lo    *      0.0.0.0/0            0.0.0.0/0         
2    216K  119M COUNTRY_BLOCK  all  --  *      *      0.0.0.0/0            0.0.0.0/0         
3    211K  119M ACCEPT    all  --  *      *      0.0.0.0/0            0.0.0.0/0          state RELATED,ESTABLISHED
4      136  6660 DROP      all  --  *      *      0.0.0.0/0            0.0.0.0/0          state INVALID

....

7      45  2236 SSH_ALLOW_SITE  tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          state NEW multiport dports 22
8      41  2004 DROP_SSH_IN_LOG  tcp  --  *      *      0.0.0.0/0            0.0.0.0/0          multiport dports 22

....

11    5004  189K SERVICE_INPUT  all  --  *      *      0.0.0.0/0            0.0.0.0/0         
12    4905  179K BLACK_LIST_SITE  all  --  *      *      0.0.0.0/0            0.0.0.0/0         

....

16    392 16540 LOG        all  --  *      *      0.0.0.0/0            0.0.0.0/0          LOG flags 0 level 4 prefix `DROP_IN_BY_POLICY : '

오준호 2013-10

답변 감사합니다. 흑흑흑 출근해서 적용해보겠습니다.

FOXBI 2013-10

기본적인 iptables의 policy는 ACCEPT입니다.

일단 받아들이고 걸러내자죠.. 말씀하신대로 다막고 시작하려면

이 기본정책을 싹 바꿔줘야합니다.

또한 정책은 INPUT과 OUTPUT, FORWARD 세가지가 있는데

이 모두에 대하여 제한을 두면 좀더 강력하게 사용이 가능합니다.

iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD

iptables --policy INPUT DROP
iptables --policy OUTPUT DROP
iptables --policy FORWARD DROP

초기화 후 정책을 DROP으로 바꿔주면

서버로의 모든 네트워크 입출입이 기본으로 막고 시작합니다.

여기서 하나씩 열어주면 됩니다.



단, 단점이 있습니다.

iptables -F  명령을 날리면 안됩니다.

ACCPET정책에서는 저 명령이 모두 풀어서 오픈하는 초기화 명령이지만

DROP정책에서는 저 명령이 모주 닫아서 클로즈하는 초기화 명령이기 때문입니다.

잘못화면 휴먼장애가 되죠.. 콘솔로 띄워야 해결되는.. iLO없음 서버실 뛰어가야합니다..

또한 다 막고 하나씩 여는거라 좀 손이 많이 갑니다. 귀찮죠..


하지만, 이 모든 귀찮음을 감안하고 잘 적용하면 웬간한 방화벽 부럽지 않은

iptables 정책이 됩니다.

대중적인 적용방법은 아니지만 추천드립니다.

오준호 2013-10

답변 감사드립니다. 이쪽 계열이 아니라서 제대로 파고들려면 많은 시간이 걸릴것 같네요.
그래도 제가 생각하고 원하는 방향의 답변이라서 많은 도움이 되었습니다. 흑흑흑