Настройка брандмауэра

Я делал так: блокировал весь входящий трафик:

$ sudo iptables -P INPUT DROP

И разрешал только соединения по локалхосту, из внутренней сети и прием уже установленных соединений:

$ sudo iptables -A INPUT -i lo -j ACCEPT
$ sudo iptables -A INPUT -s 192.168.222.0/24 -i eth1 -j ACCEPT
$ sudo iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Если по феншуям, то делаешь дефолт полиси DROP, а потом разрешаешь, что тебе нужно.

Насчёт запрета внешних коннектов. А если ты захочешь по ссх снаружи зайти?

22 порт для ssh открыть, всё остальное DROP
Кстати с теми правилами, что у massive пинг не работает.

Конечно не работает. Кто его там пропускал?

Внезапно, спрошу --- а зачем тебе вообще брандмауер?

Зачем на граничном маршрутизаторе между интернетом файрвол??? Может, вы и дверь не закрываете на ключ уходя из дома?

Ключ является аналогом пароля к службе, а не закупоренным портам. Тут скорее будет похоже на закладывание форточки кирпичом.

А файрвол является «ключем от подъезда».

Кстати с теми правилами, что у massive пинг не работает.

Это на его совести
Тупо дропая icmp можно поиметь очень весёлых проблем
http://www.znep.com/~marcs/mtu/

spqr

Внезапно, спрошу --- а зачем тебе вообще брандмауер?

Ну вообще, я iptables активно использую: маскарадинг SNAT, проброс портов DNAT, из фильтрующих цепочек - FORWARD, у меня сеть разбита на подсети, каждому отделу - своя подсеть, и соответственно для каждого отдела по паре правил в FORWARD - на входящие и исходящие пакеты. Всё остальное - REJECT. По счётчикам удобно смотреть, какой отдел сколько трафика жрёт. В сети примерно 40 клиентов. Тут же блокировки стоят для тех кому интернет вообще не полагается, также блокирую rutracker.org иначе торрентоманы весь канал себе загробастают.
А вот зачем нужно закрывать порты пока не могу понять, ведь если нет программы которая данный бы порт слушала один хрен закрыт он или открыт.