IPTables в Debian, или непонятненький парадокс

Правила показывай iptables-save

Я это делаю исключительно в познательных целях. По этому работаю без сохранения, работает до перезагрузки ведь.

Для первого варианта, с неработающим SSH. Скриншот

Для второго случая, с работающим SSH.

Chain INPUT (policy DROP)
num  target     prot opt source               destination
1    ACCEPT     tcp  --  anywhere             anywhere             multiport por                                                                                        ts ssh,http,https,zabbix-agent
2    ACCEPT     tcp  --  anywhere             anywhere             multiport por                                                                                        ts zabbix-trapper

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination

Если я первую строку введу в SSH, дальше я ничего не напишу ведь, т.к. вся цепочка отклоняет любое входящее соединение в случае отсутствии правил. Напрямую - получится, не спорю.

Сначала добавь правила для ssh и все что тебе будет нужно, потом уже дефолтный полиси. Также правила можно удалять по одному (-D) и вставлять в произвольное место (-I).

Вставлять в копипасту в терминал без обдумывания - плохая практика.

Делать надо drop/reject по умолчанию, а не accept. И только то что надо accept. Это стандартный подход, и фаервол надо так и настраивать

Я понимаю что делает каждая строка, но суть вообще в главном посте. Я не спрашиваю как это делать, а как это происходит. Если дропать все порты по диапозонам и SSH отваливается при INPUT ACCEPT, либо ацептить все порты при INPUT DROP и SSH работает нормально. А по поводу ваших команд - первая строка мне запретит 22 порт, и я написать дальше ничего не смогу.

-A INPUT -p tcp -m multiport --ports 444:65535 -j DROP

так делаешь да ? Данный критерий проверяет как исходящий так и входящий порт пакета.

Вот не понятно как это происходит

Пакет «спускается по правилам», если удовлетворяется условие, то делается действие (-j). Если не одно правило не удовлетворено, то делается действие по умолчанию.

Все просто

Почитайте iptables tutorial, сразу отпадут многие вопросы, даже те, которые на первый взгляд кажутся умными.

Я понимаю что делает каждая строка

видимо нет.

Если дропать все порты по диапозонам и SSH отваливается при INPUT ACCEPT

Так может и ssh тоже дропаешь и до input accept просто не доходит, пакет отбрасывается/дропается

Имел ввиду что ssh случайно не в этом диапазоне?

Infra_HDC правильный совет дал. Почитайте туториал и сразу все прояснится

да он дропает диапазон портов 444:65535 . В пакете адрес источника попадает под этот критерий и ssh у него отваливается.

Ответ на вопрос: сделай скрипт с правилами и запускай его. ssh отваливается, но потом сможешь переподключиться.

Так если адрес источника (source) и адрес получателя (destination) двадцатые, как это может входить в правило 444:65535 ?

А вот по поводу скрипта тоже думал. Но я задаю вопрос, почему в первом случае отпадает SSH а во втором нет, если по сути выполняется тоже самое.

Так если адрес источника (source) и адрес получателя (destination) двадцатые

Ты точно уверен что адрес источника «двадцатые»?

почему в первом случае отпадает SSH

IPTables в Debian, или непонятненький парадокс (комментарий)

если по сути выполняется тоже самое

Потому что не тоже самое.

Божечки, так я думал оно выходит 22м, и заходит в 22. В данном случае просто --dports надо было писать вместо --ports, закрывая только локальные порты.