如何仅允许到端口的隧道连接？

Question

我想让 git-daemon 通过永久的 ssh 隧道。我完成了这个任务。如何阻止与 GIT_DAEMON 端口（在我的例子中为 9418）的任何远程非隧道连接？

我已经在 iptables 中尝试过简单的规则（阻止除 localhost 之外的所有内容）：

$ iptables -A INPUT -p tcp -d ! localhost --destination-port 9418 -j DROP

但它也会阻止隧道（因为它保存源 IP 地址）。如果我还有一台防火墙主机，可以通过阻止到此端口的任何远程连接来简单地完成，但我需要这台主机来完成这项工作。

隧道通过以下两种方式之一创建：

对于 Windows：

plink.exe -N -i <key> -L 127.0.0.1:9418:192.168.1.69:9418 [email protected]

对于 Linux：

ssh -N -i <key> -L 127.0.0.1:9418:192.168.1.69:9418 [email protected]

Answer 1

实际上，您可以在根本不使用 iptables 的情况下实现此目的，只需将 git-daemon 绑定到环回接口即可，例如。

git daemon --listen=127.0.0.1

这将使它只能从本地主机连接，并且不需要 root 权限来设置。

Answer 2

您可以尝试这个（未经测试）：

# accept localhost
iptables -A INPUT -p tcp -d localhost --destination-port 9418 -j ACCEPT

# send everyone else packing
iptables -A INPUT -p tcp --destination-port 9418 -j DROP

使用 iptables -L 说：

ACCEPT     tcp  --  anywhere             localhost.localdomain tcp dpt:git
DROP       tcp  --  anywhere             anywhere            tcp dpt:git

编辑

这（可能）是您的隧道应该如何设置：

ssh -N -i <key> -L 127.0.0.1:9418:127.0.0.1:9418 [email protected]

< strong>重要的是后半部分是 127.0.0.1 而不是普通 IP