IPTABLES: Por que meu script não é aplicado?

Question

Estou instalando um novo VPS (do linode.com, se isso for importante) com o Ubuntu 16.04 LTS. Eu escrevi o seguinte script para o iptables:

#!/bin/sh

iptables -F

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

iptables -A INPUT -i eth0 -p tcp -m multiport --dports 22,80,443 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth0 -p tcp -m multiport --sports 22,80,443 -m state --state ESTABLISHED -j ACCEPT

iptables -A OUTPUT -p udp -o eth0 --dport 53 -j ACCEPT
iptables -A INPUT -p udp -i eth0 --sport 53 -j ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP
iptables -A FORWARD -j DROP

Esse script deve permitir apenas 22, 80 e 443. Ele também permite a resolução de DNS de saída.

Eu criei e nomeei esse script iptables.sh como root e coloquei em /etc/network/if-pre-up.d . Eu também fiz chmod +x .

Agora, após a reinicialização, esse script não parece ser aplicado. Eu verifiquei isso executando iptables -S , o que dá:

-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT

Como progrido a partir daqui? Estou bastante preso agora.

atualização

Não faço ideia do motivo, mas depois de renomear uptables.sh para iptables , não consigo mais entrar no meu servidor após uma reinicialização. Isso me faz pensar que agora o script é realmente executado (e quando ele tem .sh file extension não, por quê?) Durante a inicialização e há um erro no meu script. Estou tão confuso.

    

Answer 1

NOVO é por si só e RELACIONADO, ESTABELECIDO juntos. Quando você conecta via ssh o destino talvez a porta 22, mas a porta de origem é aleatória, é por isso que a regra # 2 na saída funciona como esperado.

iptables -I INPUT 1 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I OUTPUT 1 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

Quando essas regras estiverem em vigor, sua solicitação de DNS fará parte do tráfego RELATED, ESTABLISHED e você poderá excluir as referências da porta 53.