Si consiglia sempre di interrompere i servizi e bloccare le porte non necessarie. Tenere aperte le porte indesiderate può causare vulnerabilità al sistema. A seconda delle esigenze puoi bloccare sia il traffico in entrata che in uscita su una porta specifica.
Blocca la porta in entrata
La sintassi per bloccare una porta in entrata usando iptables è la seguente. Questo vale per tutte le interfacce a livello globale.
# iptables -A INPUT -p tcp --destination-port [port number] -j DROP
Per bloccare la porta solo su un'interfaccia specifica usa l'opzione -i.
# iptables -A INPUT -i [interface name] -p tcp --destination-port [port number] -j DROP
Per bloccare la porta solo per un determinato IP o sottorete, utilizzare l'opzione -s per specificare la sottorete o l'indirizzo IP.
# iptables -A INPUT -i [interface name] -p tcp --destination-port [port number] -s [ip address] -j DROP # iptables -A INPUT -i [interface name] -p tcp --destination-port [port number] -s [ip subnet] -j DROP
Ad esempio:
Per bloccare la porta 21 (per bloccare FTP), utilizzare il comando seguente:
# iptables -A INPUT -p tcp --destination-port 21 -j DROP
Salva iptables affinché le regole siano persistenti tra i riavvii.
# service iptables save
Per bloccare la porta 21 per un indirizzo IP specifico (es. 10.10.10.10) sull'interfaccia eth1 utilizzare il comando :
# iptables -A INPUT -p tcp -i eth1 -s ! 10.10.10.10 --destination-port 21 -j DROP
Salva iptables affinché le regole siano persistenti tra i riavvii.
# service iptables save
Blocca la porta in uscita
La sintassi per bloccare una porta in uscita utilizzando iptables è la seguente. Questo vale per tutte le interfacce a livello globale.
# iptables -A OUTPUT -p tcp --destination-port [port number] -j DROP
Per bloccare la porta solo su un'interfaccia specifica usa l'opzione -i.
# iptables -A OUTPUT -i [interface name] -p tcp --destination-port [port number] -j DROP
Per bloccare la porta solo per un determinato IP o sottorete, utilizzare l'opzione -s per specificare la sottorete o l'indirizzo IP.
# iptables -A OUTPUT -i [interface name] -p tcp --destination-port [port number] -s [ip address] -j DROP
# iptables -A OUTPUT -i [interface name] -p tcp --destination-port [port number] -s [ip subnet] -j DROP
Ad esempio:
Per bloccare la porta in uscita n. 25, utilizzare il comando seguente.
# iptables -A OUTPUT -p tcp --destination-port 25 -j DROP
Salva iptables affinché le regole siano persistenti tra i riavvii.
# service iptables save
Per bloccare la porta n. 25 solo per l'indirizzo IP 10.10.10.10 utilizzare il comando:
# iptables -A OUTPUT -p tcp -d 10.10.10.10 --destination-port 25 -j DROP
Salva iptables affinché le regole siano persistenti tra i riavvii.
# service iptables save