Como posso evitar ser bloqueado depois de alterar a política padrão do iptables?

Question

Estou trabalhando em um experimento. Quando eu (cliente) ssh em um gateway e executar sudo iptables --policy INPUT DROP , o gateway não aceita qualquer comunicação (ou entrada) do meu cliente.

Por running sudo iptables --policy INPUT ACCEPT no gateway, o cliente pode gravar novamente.

Minha pergunta é: Como posso restaurar a situação do cliente?

    

Answer 1

Há duas coisas que você deve fazer para manter esse sistema acessível antes alterar netfilter -rules:

1. crie uma exceção nas regras de firewall para ssh da sua máquina
2. crie uma salvaguarda

cria uma exceção

crie uma regra apropriada com iptables

sudo iptables -A INPUT -p tcp --dport ssh --source-address yourextIPadd -j ACCEPT

(onde yourextIPadd é o endereço IP da sua máquina em casa, visto de fora)

ou utilizando o ufw

Se você tiver ufw instalado já você pode dizer ufw para criar uma exceção

sudo ufw allow from yourextIPadd to any port 22

criar uma salvaguarda

Antes de emitir o comando para alterar o default-policy para netfilter para DROP , você pode dizer ao sistema para reverter esse comando após (digamos) 5 minutos com o comando comando prático at

sudo at -vM now +5 minutes

agora você está em algo como um editor, onde você pode digitar comandos para serem executados posteriormente, você fecha / finaliza isso digitando CTRL D .

Digite

/sbin/iptables --policy INPUT ACCEPT

CTRL D

Você verá algo como

sudo at -vM  now +1 minute
Fri Aug 29 17:46:00 2014

warning: commands will be executed using /bin/sh
at> /sbin/iptables iptables --policy INPUT ACCEPT
at> <EOT>
job 5 at Fri Aug 29 17:46:00 2014

Observações

• você precisa chamar at com sudo (deve ser root's na tabela)
• , portanto, não há necessidade de sudo dentro de
• -v informa at para mostrar o tempo de execução pretendido quando você terminar
• -M informa at para não enviar e-mail sobre sucesso / falha
• para ajuda detalhada com iptables dê uma olhada no Como fazer o IPTables

Answer 2

Você não pode ... pelo menos usar um protocolo de conexão baseado em IP. Porque sua regra deixa todo o tráfego IP de entrada chegando ao gateway.

BTW, todos os protocolos que eu conheço como ssh, vnc, rdp e assim por diante, usam IP.