linux – 如何只允许隧道连接到端口?

前端之家收集整理的这篇文章主要介绍了linux – 如何只允许隧道连接到端口?前端之家小编觉得挺不错的,现在分享给大家,也给大家做个参考。

我想让一个git-daemon通过一个永久的ssh隧道.我完成了这项任务.如何阻止任何与GIT_DAEMON端口的远程无连接连接(在我的情况下为9418)?

我已经在iptables中尝试了简单的规则(阻止除localhost之外的所有内容):

$iptables -A INPUT -p tcp -d ! localhost --destination-port 9418 -j DROP

但它也会阻塞隧道(因为它节省了源IP地址).如果我还有一个主机用于防火墙,可以通过阻止与该端口的任何远程连接来完成,但我需要这个主机来完成这项工作.

隧道以两种方式之一创建:

对于Windows:

plink.exe -N -i 

对于Linux:

ssh -N -i 
最佳答案
你可以尝试这个(未经测试):

# accept localhost
iptables -A INPUT -p tcp -d localhost --destination-port 9418 -j ACCEPT

# send everyone else packing
iptables -A INPUT -p tcp --destination-port 9418 -j DROP

使用iptables -L说:

ACCEPT     tcp  --  anywhere             localhost.localdomain tcp dpt:git
DROP       tcp  --  anywhere             anywhere            tcp dpt:git

编辑

这(可能)是如何设置隧道的:

ssh -N -i 

重要的是下半部分是127.0.0.1而不是普通的IP

猜你在找的Linux相关文章