iptables. запретить все. разрешить исходящие. Все правильно?

[jobfox]

Правила для ip tables. Необходимо заблокировать все, а разрешить только исходящие для клиентских приложений.
[b]Рабочая машина, не шлюз.[b]

---------------------------------------------------------------------------

БЛОКИРОВАТЬ ВСЕ.

# iptables -P INPUT DROP
# iptables -P OUTPUT DROP
# iptables -P FORWARD DROP

ICMP
Разрешим прохождение служебных пакетов (вроде генерируемых командой ping, сообщений о недоступности хоста и т.п.).

# iptables -A INPUT -p ICMP -j ACCEPT
# iptables -A OUTPUT -p ICMP -j ACCEPT

ВХОДЯЩИЕ К НАМ, СОЗДАННЫЕ НАШИМИ ИСХОДЯЩИМИ.

# iptables -A INPUT -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT
# iptables -A INPUT -p UDP -m state --state ESTABLISHED,RELATED -j ACCEPT


ИСХОДЯЩИЕ ДЛЯ КЛИЕНТСКИХ ПРИЛОЖЕНИЙ

# iptables -A OUTPUT -p TCP --sport 32768:65535 -j ACCEPT
# iptables -A OUTPUT -p UDP --sport 32768:65535 -j ACCEPT

---------------------------------------------------------------------------

Подскажите чего ещё нехватает для правильности и безопасности??? Пожалуйста.

[Ленивая Бестолочь]

это шлюз или нет?

[mandreika]

ОUTPUT означает исходящие пакеты сгенерированные самой машиной, т.е. движение пакетов из lo -> eth (Т.е. клиентские приложения находятся на этой машине?)

iptables -A OUTPUT -p TCP --sport 32768:65535 -j ACCEPT
iptables -A OUTPUT -p UDP --sport 32768:65535 -j ACCEPT

ограничение портов слишком жестокое: по дефолту исход порт генерируется начиная с 1024 но можно вроде менять.

iptables -t filter -A OUTPUT -j ACCEPT

[Alex2ndr]

ОUTPUT означает исходящие пакеты сгенерированные самой машиной, т.е. движение пакетов из lo -> eth (Т.е. клиентские приложения находятся на этой машине?)

Локальные пакеты движутся не из lo - насколько я знаю потока трафика lo -> eth просто не существует. Вы tcpdump на lo послушайте. На lo идет сетевой трафик между локальными процессами - но не между процессами и сетью.
Интересно - это я чего-то не понимаю или это просто распространенное заблуждение?

[arkhnchul]

Интересно - это я чего-то не понимаю или это просто распространенное заблуждение?

заблуждение. Любой траффик между интерфейсами - FORWARD.