Regra IPTables para permitir conexões SSH de entrada

O objetivo deste script é permitir apenas o tráfego pela VPN, exceto o localhost <-> localhost e o tráfego SSH de entrada. Mas quando executo o script no SSH, sou desconectado e forçado a reiniciar o vm. O que há de errado com o meu script?

#!/bin/bash
iptables -F

#Allow over VPN
iptables -A INPUT -i tun+ -j ACCEPT
iptables -A OUTPUT -o tun+ -j ACCEPT

#Localhost
iptables -A INPUT -s 127.0.0.1/8 -j ACCEPT
iptables -A OUTPUT -d 127.0.0.1/8 -j ACCEPT

#VPN
iptables -A INPUT -s 123.123.123.123 -j ACCEPT
iptables -A OUTPUT -d 123.123.123.123 -j ACCEPT

#SSH
iptables -A INPUT -p tcp --dport ssh -j ACCEPT

#Default Deny
iptables -A INPUT -j DROP
iptables -A OUTPUT -j DROP

A cadeia de saída é responsável por qualquer pacote que sai.

Seu script permite apenas pacotes de saída para encapsular interface, host local e host remoto em 123.123.123.123.

Se você estiver se conectando ao servidor de uma maneira que exija que o daemon SSH envie pacotes para o destino que não seja um dos acima, o tráfego não poderá sair.

Para permitir pacotes de saída do seu daemon SSH para o cliente SSH, você precisa adicionar a seguinte regra:

iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT

Você também pode adicionar critérios de IP de destino à regra acima, se estiver conectando apenas a partir de um único local. Essa regra precisa vir antes da regra final 'DROP any else' para a cadeia de saída.

Sua #SSHregra implica que ssh é uma forma de comunicação unidirecional, que não é. Os dados estão sendo enviados e retornados.

A maneira normal de lidar com isso, já que você não pode saber o número da porta no lado do cliente com antecedência, é permitir conexões consideradas "estabelecidas" ou "relacionadas" a uma conexão estabelecida. Para fazer isso, você precisa:

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Antes de suas DROPregras (e de preferência na parte superior, pois as regras são processadas em ordem e essas duas se aplicam à maioria dos pacotes).

Há uma explicação de como uma conexão TCP se torna ESTABELECIDA aqui ; essencialmente, o fato de o servidor responder ao pacote permitido por sua #SSH INPUTregra o faz.