Linux. От новичка к профессионалу. 6-е изд

Часть VI. Linux на сервере
# Разрешаем себе "пинговать" интернет-узлы
$IPT -A INPUT
 
-р icmp -m icmp -i 
$INET
 
—icmp-type echo-reply -j 
ACCEPT
$IPT -A OUTPUT
 
-p icmp -m icmp -o 
$INET 
—icmp-type echo-request -j 
ACCEPT
# Разрешаем передачу ICMP-сообщения "неверный параметр"
$IPT -A INPUT
 
-p icmp -m icmp -i 
$INET
 
—icmp-type parameter-problem -j 
ACCEPT
$IPT -A OUTPUT
 
-p icmp -m icmp -o 
$INET
—icmp-type parameter-problem -j 
ACCEPT
# Запрещаем подключение к X.Org через сетевые интерфейсы.
$IPT -A INPUT -р tcp -m tcp -i $INET —dport 6000:6063 -j DROP --syn
# Указываем порты, открытые в системе, но которые должны быть
# закрыты на сетевых интерфейсах. Я пропишу только порт 5501:
$IPT -A INPUT -р tcp -m tcp -m multiport -i $INET -j DROP --dports 5501
# Разрешаем DNS
$IPT -A OUTPUT -p udp -m udp -o $INET --dport 53 --sport $UPORTS -j ACCEPT
$IPT -A OUTPUT -p tcp -m tcp -o $INET --dport 53 --sport $UPORTS -j ACCEPT
$IPT -A INPUT -p .udp -m udp -i $INET --dport $UPORTS --sport 53 -j ACCEPT
$IPT -A INPUT -p tcp -m tcp -i $INET --dport $UPORTS --sport 53 -j ACCEPT
# Разрешаем AUTH-запросы к удаленным серверам, но запрещаем такие
# запросы к своему компьютеру
$IPT -A OUTPUT -р tcp -m tcp -о $INET --dport 113 --sport $UPORTS -j ACCEPT
$IPT -A INPUT -p tcp -m tcp -i $INET --dport $UPORTS --sport 113 -j ACCEPT ! --
syn
$IPT -A INPUT -p tcp -m tcp 
-i 
$INET —dport 113 -j DROP
# Далее мы открываем некоторые порты, необходимые для
# функционирования сетевых служб
# FTP-клиент (порт 21)
$IPT -A OUTPUT -р tcp -m tcp -о $INET --dport 21 --sport $UPORTS -j ACCEPT
$IPT -A INPUT -p tcp -m tcp -i $INET --dport $UPORTS --sport 21 -j ACCEPT ! --
syn
# SSH-клиент (порт 22)
$IPT -A OUTPUT -p tcp -m tcp -o $INET --dport 22 --sport $UPORTS -j ACCEPT
$IPT -A INPUT -p tcp -m tcp -i $INET --dport $UPORTS --sport 22 -j ACCEPT ! --
syn
$IPT -A OUTPUT -p tcp -m tcp -o $INET --dport 22 --sport 1020:1023 -j ACCEPT
$IPT -A INPUT -p tcp -m tcp -i $INET --dport 1020:1023 —sport 22 -j ACCEPT ! --
-syn
# SMTP-клиент (порт 25)
$IPT -A OUTPUT -p tcp -m tcp -o $INET --dport 25 --sport $UPORTS -j ACCEPT
$IPT -A INPUT -p tcp -m tcp -i $INET --dport $UPORTS --sport 25 -j ACCEPT ! --syn

---