iptables: BLOCO todo o OUTPUT geral no PC (sem servidor)

Question

Estou tentando

-P INPUT DROP
-P FORWARD DROP
-P OUTPUT DROP

-A INPUT -i lo -j ACCEPT

-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -m state --state NEW,ESTABLISHED -j ACCEPT

No entanto, tudo na internet parece exigir -P OUTPUT ACCEPT . Caso contrário, nada funcionaria.

Também --state NEW no fir INPUT é necessário se você não quer afinar um servidor?

    

Answer 1

Eu não entendo completamente o que você está tentando fazer, mas se você quiser permitir somente o acesso à porta TCP 80 na Internet, isso funcionou para mim:

-P INPUT DROP
-P FORWARD DROP
-P OUTPUT DROP

-A INPUT -i lo -j ACCEPT

-A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Você também pode permitir a porta 53 se estiver usando algum servidor de nomes, caso contrário seu navegador não resolverá nomes de domínio.