Firewall - Drop all except some Ports funktioniert nicht

[opa-rudi]

Hallo Leute,

ich habe hier einen Debian Stretch Server als virtuelle Maschine am laufen und wollte nun die Firewall einrichten. Hierbei wollte ich alle Ports "droppen" und dann ein paar Ausnahmen regeln, um beispielsweise auf den Mailserver zugreifen zu können. Nachfolgend die iptables-Konfiguration:


iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT tcp -- anywhere anywhere tcp dpt:webmin
ACCEPT tcp -- anywhere anywhere tcp dpt:imaps
ACCEPT tcp -- anywhere anywhere tcp dpt:submission
ACCEPT tcp -- anywhere anywhere tcp dpt:urd
ACCEPT tcp -- anywhere anywhere tcp dpt:https
ACCEPT tcp -- anywhere anywhere tcp dpt:imap2
ACCEPT tcp -- anywhere anywhere tcp dpt:http
ACCEPT udp -- anywhere anywhere udp dpt:domain
ACCEPT tcp -- anywhere anywhere tcp dpt:domain
ACCEPT tcp -- anywhere anywhere tcp dpt:smtp
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT tcp -- anywhere anywhere tcp dpt:ftp
DROP all -- anywhere anywhere

Chain FORWARD (policy ACCEPT)
target prot opt source destination

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Leider bekomme ich keine Verbindung zwischen Mailclient und Server hin, sobald die "Drop all" Regel aktiviert ist. Mein Client meldet mir, dass eine Verbindung auf Port 143 nicht möglich sei. SSH und FTP funktioniert mit der "Drop all"-Regel. Hat hier jemand eine Idee, warum die Verbindung nicht möglich ist?

Grüße!

[marce]

AFAIK wird die Liste von oben nach unten abgearbeitet - sprich "Du gibst erst ein paar Ports frei und schmeißt dann alles weg."

-> Erst alles droppen und dann das gewünschte freigeben.

[DrunkenFreak]

Soweit richtig. Aber beim ersten Treffer sollte er aussteigen und die darunter liegenden garnicht mehr ausführen.

Ich würde allerdings die policy umstellen auf DROP. Hat den gleichen Effekt wie der letzte Eintrag.

[opa-rudi]

Das funktioniert leider nicht (bereits ausprobiert). Die Reihenfolge sollte so schon korrekt sein. SSH und FTP funktionieren ja auch mit dieser Reihenfolge. Das Problem tritt nur beim Mailserver auf.

[opa-rudi]

Soweit richtig. Aber beim ersten Treffer sollte er aussteigen und die darunter liegenden garnicht mehr ausführen.

Ich würde allerdings die policy umstellen auf DROP. Hat den gleichen Effekt wie der letzte Eintrag.

Welche Policy soll ich auf Drop umstellen?