3r1cne if alapján tilts, sokal egyszerűbb ha azzal kezded az INPUT láncot, miután a policyt DROP-ra tetted a LAN felől mindent engedsz tcp/udp-n, majd elkezded felsorolni azokat a portokat amiket kívülről el kell, hogy érjenek a net felől.
az OUTPUT láncot hagyd ACCEPT-en ha nem akarod magad szívatni.
itt egy egyszerűsített de működő példa:
a szerver gépen a 22-es tcp portra lehet csatlakozni a net felől, netet ad az eth0-n érkező net felől a LAN-os hálózatnak, valamint forwardolja a 8000-es portot a LAN oldal 192.168.1.10-es IP-je felé. (A net forward-ot be kell kapcsolni előtte sysctl-el)
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A INPUT -s 127.0.0.1 -j ACCEPT
iptables -A INPUT -d 127.0.0.1 -j ACCEPT
iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -p tcp --dport 8000 -j DNAT --to-destination 192.168.1.10:8000
Ha egyszerű módon megy akkor utána rakhatod a FORWARD-ot is DROP-ra aztán lehet szabályokat csinálni oda is, úgy lehet korlátozni a LAN felől melyik gép mit érhet el a neten és ne tudjunk mindent, pl tilthatod a torrentet vagy azt, hogy csak a saját smtp-d tudják használni, stb.
