iptablesでHTTPインバウンドが通らない

質問

初めまして、表題の件に関して質問させて下さい。

現在AWS EC2のRHELでiptablesを設定しております。
アウトバウンド通信のみを制限したいので、
INPUT、OUTPUT、FORWARDのデフォルトポリシーはそれぞれ
以下で設定しております。
INPUT：ACCEPT
OUTPUT：DROP
FORWARD：ACCEPT

デフォルトポリシーがACCEPTなので必要なのかはわかりませんが、以下を追加しております。
sudo iptables -A INPUT -m state --state ESTABLISHD,RELATED -j ACCEPT

上記を設定すると、ALBからのヘルスチェック（HTTP:80）が
unhealthyになってしまいます。
デフォルトポリシーがACCEPTだと、DROPされているルール以外は
全許可されるのでは、ないのでしょうか。
HTTPがつながらないとなると、SSHも失敗するようになってもおかしくないと思うのですが、SSHは成功します。

どなたか、教えてください。

回答No.1

superside0 · ベストアンサー

OUTPUTを全てDROPしているのなら、
httpのレスポンス（向きとしてはアウトバウンド）が接続元に返せないので
それのOUTPUT　にはACCEPTが必要なのではと。
(--sport 80で限定するとか、ESTABLISHED,RRELATED に限定するとか）

たとえば
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
みたいにしてみてはどうでしょう。

sshのほうが問題ないのは、これだけだと、よくわかりませんが
もしかして、iptablesとは別に　firewall-cmdの定義もあって
それの初期設定でsshだけは通せるままになっているのかもしれません。