Iptables - Remova as portas filtradas e feche-as

Question

Aqui está o resultado do comando nmap no meu servidor dedicado do meu computador Linux:

Not shown: 980 closed ports
PORT      STATE    SERVICE
20/tcp    filtered ftp-data
21/tcp    filtered ftp
22/tcp    open     ssh
53/tcp    filtered domain
80/tcp    open     http
81/tcp    filtered hosts2-ns
110/tcp   filtered pop3
135/tcp   filtered msrpc
139/tcp   filtered netbios-ssn
143/tcp   filtered imap
443/tcp   open     https
445/tcp   filtered microsoft-ds
587/tcp   filtered submission
993/tcp   filtered imaps
995/tcp   filtered pop3s
3306/tcp  filtered mysql
8080/tcp  filtered http-proxy
8081/tcp  filtered blackice-icecap
8443/tcp  filtered https-alt
40193/tcp filtered unknown

Nmap done: 1 IP address (1 host up) scanned in 2.34 seconds

Neste momento, tenho as seguintes regras neste servidor dedicado:

*filter
:INPUT ACCEPT [0:0] 
:FORWARD ACCEPT [0:0] 
:OUTPUT ACCEPT [0:0] 
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 
-A INPUT -p icmp -j ACCEPT 
-A INPUT -i lo -j ACCEPT 
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT 
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT 
-A INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT 
-A INPUT -j REJECT --reject-with icmp-host-prohibited 
-A FORWARD -j REJECT --reject-with icmp-host-prohibited 

Na verdade, quero fechar todas as portas, exceto 22, 80 e 443. Mas não sei como fechar todas as portas que aparecem "filtradas" com o comando nmap (na lista de resultados acima).

Se alguém puder me ajudar a resolver esse problema,

Obrigado antecipadamente

    

Answer 1

De acordo com o link abaixo, você deve terminar suas regras com

-j REJECT --reject-with tcp-reset

em vez de

-A INPUT -j REJECT --reject-with icmp-host-prohibited 
-A FORWARD -j REJECT --reject-with icmp-host-prohibited 

Veja link

Em seguida, a porta parecerá que não há nenhum serviço sendo executado, pois tcp-reset é a resposta para uma porta não utilizada.

Mas você diz que tem outro firewall na frente, então a questão é moo, como Joey coloca: -)

    

Answer 2

Substitua suas regras:

-A INPUT -j REJECT --reject-with icmp-host-prohibited 
-A FORWARD -j REJECT --reject-with icmp-host-prohibited 

com

-A INPUT -j DROP
-A FORWARD -j DROP

REJECT usado principalmente na rede local e, se o seu servidor estiver olhando para a Internet, posso sugerir o uso de DROP.

Dê uma olhada aqui para mais exemplos iptables pode ajudar também.