iptables: É perigoso filtrar pela porta de origem?

Question

Gostaria de executar uma configuração de firewall sem estado e atualmente tenho as seguintes regras:

#Do not track any packet
*raw
:PREROUTING ACCEPT [0:0]
-A PREROUTING -j NOTRACK
COMMIT

#Actual firewall rules
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp --dport 22 -j ACCEPT
-A INPUT -p udp --sport 53 -j ACCEPT
-A INPUT -m multiport -p tcp --sport 80,443 -j ACCEPT
COMMIT

Agora, minha pergunta é: não é possível a um invasor acessar remotamente qualquer serviço em meu servidor, desde que ele faça essa conexão a partir de seu computador em uma porta de origem 80, 443 ou 53?

    

Answer 1

Estas regras permitirão qualquer pacote de entrada, desde que sua porta de origem seja 53 (UDP), 80 (TCP) ou 443 (TCP). Não importa qual é a porta de destino. Assim, sua máquina tem todas as portas abertas para esses pacotes. E a resposta é sim .

Uma configuração comum de iptables seria filtrada com base nas portas de destino:

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 53 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT

UPDATE: Como você percebeu, ele usa a máquina de estado. Sem ele, o firewall não pode controlar as conexões TCP já estabelecidas. A porta de destino (por exemplo, 80) é alterada para outra coisa pelo servidor após a conexão do soquete de escuta.