Como bloquear todas as portas, exceto 80.443, com o iptables? [duplicado]

Bloquear todas as portas (entrada e saída) é fácil, mas é difícil com a palavra "exceto". Não conheço nenhuma regra que satisfaça a condição.

PS: Eu sei que esta pergunta não é novidade. Mas, na verdade, não encontrei nada que ajude. Então, me ajude pls!

Primeiro o! é o símbolo NÃO.

iptables -A INPUT -p tcp -m tcp -m multiport ! --dports 80,443 -j DROP

Segundo, as regras que você escreveu podem não ter os resultados esperados. Você elimina tudo, incluindo a resposta à conexão na porta 80. Portanto, não será possível conectar-se a ela para fins de um servidor da web.

Essas regras permitem conexões RELACIONADAS e ESTABELECIDAS, para que um servidor web funcione, se é isso que você está tentando fazer.

iptables -A INPUT -p tcp -m tcp -m multiport --dports 80,443 -j ACCEPT
<insert further allowed list here>
iptables -A INPUT -m conntrack -j ACCEPT  --ctstate RELATED,ESTABLISHED
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j DROP
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -j DROP
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -j DROP

# Set the default policy of the INPUT chain to DROP
iptables -P INPUT DROP

# Accept incomming TCP connections from eth0 on port 80 and 443
iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 443 -j ACCEPT

Isso deve lhe dar o que você precisa

Você pode definir sua ação padrão como DROP e, em seguida, criar regras de exceção para permitir 80 e 443, da seguinte maneira:

# Setting default policies:
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Exceptions to default policy
iptables -A INPUT -p tcp --dport 80 -j ACCEPT       # HTTP
iptables -A INPUT -p tcp --dport 443 -j ACCEPT      # HTTPS

O iptables percorrerá a lista de 'exceções' até encontrar uma correspondência. Ele executará a ação especificada pelo -jparâmetro (ACEITAR neste caso). Se não encontrar uma correspondência, retornará à política padrão e descartará o pacote.

Observe que, com esta solução alternativa, todos os subdomínios serão bloqueados. Por exemplo, com esse método, ele funcionará em www.mydomain.com, mas seu subdomínio, digamos www.sub.mydomain.com, não será aberto por erros de DNS.