Linux (iptables firewall)

[derchris]

Nachdem mir nun der Kopf vom vielen man iptables lesen qualmt suche ich hier mal Rat.

Suche für nen "root" Server nen iptables Script.

so dass der Server in einem gebrauchsfähigen Zustand folgende Dienste für die Aussenwelt bereit hält, alles andere soll bitte rejected oder gedroped werden.

• FTP (tcp, 21)
• SSH (tcp, 22)
• SMTP (tcp, 25)
• HTTP (tcp, 80)
• HTTPS (tcp, 443)
• POP3 (tcp, 110)
• IMAP (tcp, 143)

Sowie alle sonstigen benötigten Ports - mir war so als müsse 53 auch offen sein? welche noch? Ping soll auch erlaubt sein. Muss vom Server ins Internet was geblockt werden?

Gegoogled habe ich schon über 3 Stunden, aber habe noch nix für mich praktikabeles gefunden. Ein paar Ansätze sind vorhanden.

Mit

iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A INPUT  -p icmp --icmp-type echo-reply   -j ACCEPT

# Port 21 ftp
iptables -A INPUT -p tcp -i eth0 --dport 21 –sport 1024:65535 \ 
  -m state –state NEW -j ACCEPT

# Port 22 ssh
iptables -A INPUT -p tcp -i eth0 --dport 22 –sport 1024:65535 \ 
  -m state –state NEW -j ACCEPT

# Port 25 smtp
iptables -A INPUT -p tcp -i eth0 --dport 25 –sport 1024:65535 \ 
  -m state –state NEW -j ACCEPT

# Port 80 http
iptables -A INPUT -p tcp -i eth0 --dport 80 –sport 1024:65535 \ 
  -m state –state NEW -j ACCEPT

# Port 443 https
iptables -A INPUT -p tcp -i eth0 --dport 443 –sport 1024:65535 \ 
  -m state –state NEW -j ACCEPT  

# Port 110 pop3
iptables -A INPUT -p tcp -i eth0 --dport 110 –sport 1024:65535 \ 
  -m state –state NEW -j ACCEPT
  
# Port 143 imap  
iptables -A INPUT -p tcp -i eth0 --dport 143 –sport 1024:65535 \ 
  -m state –state NEW -j ACCEPT

Müsste es das in etwa sein? Aber wie "blocke" ich nun alles andere? is das mit dem -sport richtig, oder eher überflüssig?