Iptables - закрыть всё, кроме некоторых

Дать отдельным ип доступ по опенвпн(upd, 1950 порт) в сеть

Какую сеть? Рыболовную может быть?

iptables -A INPUT ! -s xxx.xxx.xxx.xxx -j DROP и так повторять, пока не наберётся нужное нам кол-во

«нам» это кому? Не ну «набирать» можно много, вот только смысл? Первое же правило пропускает все что не содержит в входящем адресе xxx.xxx.xxx.xxx

Закрыть любые дыры\утечки
заблокировать все входящие\исходящие

Вы случайно не в ркн устроились работать?

Комментарии в стиле «кури основы» приветствуются

iptables tutorial

ssh на 22 порту - несекурно

ssh на 22 порту - несекурно

Ога, при учете еще 443 и 80 со скорее всего кучей пых и тому подобного мусора. Конечно только через ssh вас и поломают... не, ну если рутовый с пассом 111... поломают быстро, только смена порта это страусиная политика при таких условиях.

Сначала нужно закрыть все, потом уже разрешать что хочется:

iptables -P INPUT DROP
iptables -P OUTPUT DROP

iptables -A INPUT -s xxx.xxx.xxx.xxx -j ACCEPT
iptables -A OUTPUT -d xxx.xxx.xxx.xxx -j ACCEPT

iptables -A INPUT -p TCP --dport 80 -j ACCEPT

Благодарен за ответы и размышления. Дали немало подсказок 22 порт дан условно - в последствии будет изменен. Нужно было понять, по какому принципу работает данная схема.

Можно сделать скрипт с правилами iptables. Поставить в автозагрузку. Пример такой:

#!/bin/sh
iptables -F
iptables -t nat -F
echo "1" >  /proc/sys/net/ipv4/ip_forward
killall pptpd
/usr/local/sbin/pptpd
## Разрешаем кому надо
iptables -A INPUT -s 10.12.1.0/24 -j ACCEPT
iptables -A INPUT -s 10.12.0.0/24 -j ACCEPT
iptables -A FORWARD -s 195.72.229.46 -j ACCEPT
#Пробрасываем кому надо
iptables -t nat -A PREROUTING -p udp --dport 8999 -j DNAT --to 192.168.115.237:8999
iptables -t nat -A POSTROUTING -d 192.168.115.237 -p udp --dport 8999 -j SNAT --to-source 192.168.115.15
### Остальных лесом
iptables -A INPUT -p tcp -m multiport --dport 110,143,995,10022,25,8080,3128,443,80 -j DROP
#

Можно сделать скрипт с правилами iptables. Поставить в автозагрузку.

Есть же для этого человеские iptables-save & iptables-restore . Нет надо через жопу делать.

Это которые всё равно на добавление каждого отдельного правила выгружают-загружают заново всю таблицу?

Можно делать по правилам, а можно правильно. Кому как удобнее. Мне удобнее добавить/убавить правило в скрипт и перезапустить его. и комменты к каждому правилу в скрипте всегда кстати..

Признателен. Теперь уж точно всё стало на свои места!

Делаете политику по умолчанию drop, разрешаете established, related, далее разрешаете то что надо

Как выглядит простая настройка iptables? (комментарий)

А что касается разрешения для отдельных ip-ов из списка, то

for IP in `cat iplst.txt`
do
  iptables -s $IP -... -j ACCEPT
done

Тащето давно придумали ipset

Точно!)

... Задача: 1. Дать отдельным ип доступ по опенвпн(upd, 1950 порт) в сеть ... с Линуксом работать тесно не требуется, нужно только установить данные правила.

Поставь себе CSF - и не надо будет мучиться с правилами iptables. Там всё конфигурится в достаточно удобном формате.

https://configserver.com/cp/csf.html