linux – 如何只允许隧道连接到端口?
发布时间:2020-12-14 01:48:29 所属栏目:Linux 来源:网络整理
导读:我想让一个git-daemon通过一个永久的ssh隧道.我完成了这项任务.如何阻止任何与GIT_DAEMON端口的远程无连接连接(在我的情况下为9418)? 我已经在iptables中尝试了简单的规则(阻止除localhost之外的所有内容): $iptables -A INPUT -p tcp -d ! localhost --de
我想让一个git-daemon通过一个永久的ssh隧道.我完成了这项任务.如何阻止任何与GIT_DAEMON端口的远程无连接连接(在我的情况下为9418)?
我已经在iptables中尝试了简单的规则(阻止除localhost之外的所有内容): $iptables -A INPUT -p tcp -d ! localhost --destination-port 9418 -j DROP 但它也会阻塞隧道(因为它节省了源IP地址).如果我还有一个主机用于防火墙,可以通过阻止与该端口的任何远程连接来完成,但我需要这个主机来完成这项工作. 隧道以两种方式之一创建: 对于Windows: plink.exe -N -i <key> -L 127.0.0.1:9418:192.168.1.69:9418 tunnel@192.168.1.69 对于Linux: ssh -N -i <key> -L 127.0.0.1:9418:192.168.1.69:9418 tunnel@192.168.1.69 解决方法
你可以尝试这个(未经测试):
# accept localhost iptables -A INPUT -p tcp -d localhost --destination-port 9418 -j ACCEPT # send everyone else packing iptables -A INPUT -p tcp --destination-port 9418 -j DROP 使用iptables -L说: ACCEPT tcp -- anywhere localhost.localdomain tcp dpt:git DROP tcp -- anywhere anywhere tcp dpt:git 编辑 这(可能)是如何设置隧道的: ssh -N -i <key> -L 127.0.0.1:9418:127.0.0.1:9418 tunnel@192.168.1.69 重要的是下半部分是127.0.0.1而不是普通的IP (编辑:李大同) 【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容! |