特定のIPを許可するiptablesルールが機能しない

Question 1

このホストでVPNクライアントを使用して2番目のインターフェースを作成する場合は、次のことも忘れないでください。VPNサーバーへの接続を許可するそうしないと、ローカル IP10.147.18.192にアクセスできなくなります。

少なくとも、インターフェースで VPN サーバーとの間の送信トラフィックと受信トラフィックを許可する必要がありますwlp0s20f3。

iptables -I OUTPUT -d $vpn_server_ip -p $proto --dport $vpn_port -j ACCEPT
iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

$proto または、およびudp: VPNサーバーのIPアドレスまたは範囲とポートtcp$vpn_server_ip$vpn_port

これらの値を推測するのにはあまり役立ちませんが、VPN ドキュメント、または VPN トンネルへの接続が確立されている tcpdump/wireguard からこれらの情報が得られるはずです。

Answer

このホストでVPNクライアントを使用して2番目のインターフェースを作成する場合は、次のことも忘れないでください。VPNサーバーへの接続を許可するそうしないと、ローカル IP10.147.18.192にアクセスできなくなります。

少なくとも、インターフェースで VPN サーバーとの間の送信トラフィックと受信トラフィックを許可する必要がありますwlp0s20f3。

iptables -I OUTPUT -d $vpn_server_ip -p $proto --dport $vpn_port -j ACCEPT
iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

$proto または、およびudp: VPNサーバーのIPアドレスまたは範囲とポートtcp$vpn_server_ip$vpn_port

これらの値を推測するのにはあまり役立ちませんが、VPN ドキュメント、または VPN トンネルへの接続が確立されている tcpdump/wireguard からこれらの情報が得られるはずです。

Question 2

質問で言及されている次の 2 つのコマンド:

iptables -A INPUT -s 10.147.18.80 -j ACCEPT
iptables -A OUTPUT -d 10.147.18.80 -j ACCEPT

これらのルールはチェーンの末尾に追加されます。 -Aオプションはルールを末尾に追加します。-Iオプションを使用すると、ルールはチェーンの先頭に配置されます。

DROPここでの問題は、チェーンの終わりに到達する前にトラフィックをドロップするルールREJECTが、チェーンの 1 つにすでにまたはルールとして設定されている可能性があることですACCEPT。たとえば、IP 10.147.18.80 を含むサブネット全体との間のトラフィックをドロップするルールなどです。

ACCEPT ルールの前に、INPUT チェーンか OUTPUT チェーンかに応じて、その IP へのトラフィックまたはその IP からのトラフィックをドロップ/拒否するルールがチェーン内に存在する場合、そのルールでその IP のみが指定されているかサブネット全体が指定されているかに関係なく、トラフィックはドロップされ、チェーン内の他のすべてのルールは処理されなくなります。

DROP、REJECTはACCEPT終了ターゲットであり、iptables がそのルールに一致すると、チェーン内の他のルールの処理を停止し、次のルールに進みません。

試す

iptables -I INPUT -s 10.147.18.80 -j ACCEPT
iptables -I OUTPUT -d 10.147.18.80 -j ACCEPT

これにより、これらのルールがチェーンの最上位に配置され、最初に適用されるルールとなり、これらのチェーン内のトラフィックに対して他のルールは処理されなくなります。

チェーン内のすべてのルールを次のようにリストすることができます。

iptables -nvL

特定のチェーンだけを表示したい場合

iptables -nvL INPUT 
iptables -nvL OUTPUT

編集

貼り付けた出力と、デフォルトのアクションをACCEPTこれに変更すると ping を実行できるという事実を考慮すると、問題はないようです。

tcpdump などを使用して、トラフィックが送信され、返されるかどうかを確認できます。

このコマンドは、マシンによって送信または受信されるすべてのICMPパケットを取得します。

tcpdump -nnvvi any icmp

出力にこのようなものが表示された場合

10:13:48.866598 IP (tos 0x0, ttl 255, id 30625, offset 0, flags [DF], proto ICMP (1), length 84)
    10.147.18.192 > 10.147.18.80: ICMP echo request, id 26621, seq 4, length 64
10:13:48.867771 IP (tos 0x0, ttl 53, id 0, offset 0, flags [none], proto ICMP (1), length 84)
    10.147.18.80 > 10.147.18.192: ICMP echo reply, id 26621, seq 4, length 64

その後、ping パケットは送信され、返されますが、他のルールによって拒否されます。

nat テーブルや mingle テーブルなどの他のテーブルに他のルールがあるかどうか、また、そのルールの一部がトラフィックと競合していないかどうかを確認できます。

iptables -t nat -nvL
iptables -t mingle -nvL

また、リストの下の番号で、パケットが OUTPUT チェーンの ACCEPT ルールを通過しているかどうかを確認することもできますpkts。ping を試みた後にその番号が増加しているのに、INPUT チェーンの番号が 0 のままである場合は、着信トラフィックルールに問題があります。

また、コマンドまたは同様のものを使用してルートを確認してください。ip rトラフィックが同じサブネット内のインターフェースから出ていない可能性があるため、途中で NAT ルールにより返されるパケットの送信元 IP が変更されている可能性があります。

Answer