☰

DNATルールが存在する場合、[wan-local]で一部のパケットがドロップされる

tag-icon • tag-icon iptables dnat
DNATルールが存在する場合、[wan-local]で一部のパケットがドロップされる

私は EdgeOS (別名 vyatta 6.3、別名 debian) を 3.4.27 で実行しています。次のような 2 つの DNAT ポート転送ルールがあります。

rule 1 {
 destination {
     port 65432
 }
 inbound-interface eth0
 inside-address {
     address 192.168.88.5
 }
 log disable
 protocol tcp_udp
 type destination
}

このLinuxディストリビューションの仕様を無視して、すべてのTCPおよびUDPパケットはLANに転送され、[wan-lan]ファイアウォールルールによってのみフィルタリングされるものと想定しています。この想定は正しいでしょうか？いくつかのeth0 の IP に指定され、dport が DNAT ルールを満たすパケットは、依然として [wan-local] ファイアウォールに到達します。これらのパケットは、主に次のフラグを持つ TCP です: ACK RST、RST、ACK FIN。フローは実際にはアクティブではなく、その間 eth0 でドロップは発生しません。

何か見落としているのでしょうか、それとも iptables が 100% 適切に機能していないのでしょうか?

ありがとう。

関連情報