¿Cómo bloquear todos los puertos excepto 80,443 con iptables? [duplicar]

Bloquear todos los puertos (entrada y salida) es fácil, pero es difícil con la palabra "excepto". No conozco ninguna regla que satisfaga la condición.

PD: Sé que esta pregunta no es nada nuevo. Pero, de hecho, no encontré nada útil. Entonces, ¡ayúdame, por favor!

Primero el ! Es el símbolo NO.

iptables -A INPUT -p tcp -m tcp -m multiport ! --dports 80,443 -j DROP

En segundo lugar, las reglas que escribió pueden no tener los resultados esperados. Deje caer todo, incluida la respuesta a la conexión en el puerto 80. Por lo tanto, no podrá conectarse a él, dice a los efectos de un servidor web.

Estas reglas permiten conexiones RELACIONADAS y ESTABLECIDAS para que un servidor web funcione, si eso es lo que está tratando de hacer.

iptables -A INPUT -p tcp -m tcp -m multiport --dports 80,443 -j ACCEPT
<insert further allowed list here>
iptables -A INPUT -m conntrack -j ACCEPT  --ctstate RELATED,ESTABLISHED
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j DROP
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -j DROP
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -j DROP

# Set the default policy of the INPUT chain to DROP
iptables -P INPUT DROP

# Accept incomming TCP connections from eth0 on port 80 and 443
iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT

Esto debería darte lo que necesitas

Puede establecer su acción predeterminada en DROP y luego crear reglas de excepción para permitir 80 y 443, de esta manera:

# Setting default policies:
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Exceptions to default policy
iptables -A INPUT -p tcp --dport 80 -j ACCEPT       # HTTP
iptables -A INPUT -p tcp --dport 443 -j ACCEPT      # HTTPS

iptables revisará la lista de 'excepciones' hasta que encuentre una coincidencia. Luego realizará la acción especificada por el -jparámetro (ACEPTAR en este caso). Si no encuentra una coincidencia, volverá a la política predeterminada y descartará el paquete.

Tenga en cuenta que con esta solución alternativa se bloqueará cualquier subdominio. Por ejemplo, con este método, lo tendrá funcionando en www.mydomain.com, pero su subdominio, digamos, www.sub.mydomain.com no se abrirá para errores de DNS.