Что я не так делаю с iptables?

На локальной виртуалке пытаюсь запретить все входящие, кроме соединений с хоста на три порта виртуалки (в оранжевой рамочке).

Но когда после того как указываю iptables дропать все входящие, он даже не выводит список правил, просто виснет и всё (в красной рамочке).

Что я не так делаю?

Сначала политики, потом правила.

zenon написал:

Сначала политики, потом правила.

Вы не могли бы развернуть реплику?

fragment написал:

Вы не могли бы развернуть реплику?

А что там непонятного-то? Вначале задаются политики (iptables -P INPUT...) Полистики чистят всё в цепочках. Потом, на чистое место, задаем правила iptables -<A|I> INPUT... В итоге получаем, что вначале будут проанализированы все цепочки правил, если будет найдено совпадение, то будет отработано соответствующее правило, а если ничего не совпадет, то будет применено правило из политики.

Ну, сначала задал политику, а потом добавил правила. То же самое - на iptables -L виснет.

Делай скрипт. Не понимаю зачем вводить руками?
Сначала чистка, потом политики, потом правила.

zenon написал:

Делай скрипт. Не понимаю зачем вводить руками?
Сначала чистка, потом политики, потом правила.

Да не нужен мне пока что скрипт, это я так, балуюсь.

Ну вот смотрите, пробую снова, а оно всё равно виснет на iptables -L

А, ну правильно политика DROP распространяется на всё и вся, ESTABILISHED, RELATED открой, тогда заработает.

# iptables -F                                                     
# iptables -X                                                     
# iptables -P INPUT DROP                                     
# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# iptables -A INPUT -s 192.168.1.2 -p tcp --dport 22 -j ACCEPT    
# iptables -A INPUT -s 192.168.1.2 -p tcp --dport 80 -j ACCEPT
# iptables -L -v                                                     
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    9   437 ACCEPT     all  --  any    any     anywhere             anywhere             state RELATED,ESTABLISHED
    0     0 ACCEPT     tcp  --  any    any     192.168.1.2          anywhere             tcp dpt:ssh
    0     0 ACCEPT     tcp  --  any    any     192.168.1.2          anywhere             tcp dpt:http
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Нет, так не пойдёт.

Посоветуйте годную книгу по iptables, "от и до": принципы и логика работы, создание правил и т.д. На русском, желательно.

fragment написал:

Нет, так не пойдёт.

Посоветуйте годную книгу по iptables, "от и до": принципы и логика работы, создание правил и т.д. На русском, желательно.

http://ru.wikibooks.org/wiki/Iptables