具有php-fpm的nginx的Iptables规则

Question

我在运行nginx和php的服务器上设置iptables规则。我已经允许80和443端口，但正如我所看到的，也有额外的连接到更高的端口被阻塞。

样本输出

netstat -anpn grep -v ":80“

tcp        0      1 10.0.0.1:8109       10.1.2.24:29837     SYN_SENT    19834/nginx: worker
tcp        0      1 10.2.3.45:31890     10.0.0.1:26701      SYN_SENT    17831/nginx: worker

10.0.0.1是服务器IP，其他是客户端。

我的表规则：

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT

有谁能解释一下：

1. 为什么nginx使用与标准80和443不同的端口。
2. 这额外的端口范围是多少？
3. 如何正确地允许通过iptables连接到nginx？

提前感谢！

Answer 1

在处理请求时，Nginx通常会执行内部重定向，这将在高编号端口上建立连接。我不相信你能找到这个范围。

举个例子，我看到的是：

tcp        0      0 192.168.0.126:80        0.0.0.0:*               LISTEN      9432/nginx: worker
tcp        0      0 192.168.0.126:80        192.168.0.177:62950     ESTABLISHED 9432/nginx: worker
tcp        0      0 192.168.0.126:80        192.168.0.177:62949     ESTABLISHED 9432/nginx: worker
tcp        0      0 192.168.0.126:80        192.168.0.177:62947     ESTABLISHED 9432/nginx: worker
unix  3      [ ]         STREAM     CONNECTED     29213    9432/nginx: worker 

防火墙规则起作用的原因是：

1. 已打开Nginx服务器侦听器所需的所需端口(即80和443)
2. 您已经包含了以下防火墙规则，该规则允许对本地主机的所有请求(127.0.0.1)，这样Nginx内部重定向就不会阻塞打开的高编号端口： -A输入-i lo -j接受

因此，要回答你的问题：

1. Nginx服务器侦听器可以侦听任何您喜欢的端口，而不仅仅是80和443。它使用额外端口的原因是用于内部重定向，因此也是实现的一个方面。
2. 我不相信你能找到这个范围。事实上，我怀疑任何代码都不会要求系统使用某个端口，而是会要求操作系统提供一个编号很高的未使用端口。
3. 您可能还没有意识到这一点，但是您实现的防火墙规则应该工作得很好。

Answer 2

我在Nginx中也使用PHP。除了iptables中的22/80/443之外，我还阻塞了所有端口，并且没有遇到任何连接问题。我检查了我自己的netstat，它看起来与您的输出相同。你确定你的iptables规则是正确的吗？你能贴出sudo iptables -L的输出吗？