CentOS 7에서 nftables 루프백 연결이 작동하지 않습니다.

2024-6-23 • tag-icon

CentOS 7(커널)을 제거 firewalld하고 설치했습니다 . 내 규칙 세트는 다음과 같습니다.nftables3.10.0-1160.42.2.el7.x86_64

# nft list ruleset

table ip my_table {
        set ssh_evils {
                type ipv4_addr
        }

        set sip_evils {
                type ipv4_addr
        }

        set dialers {
                type ipv4_addr
        }

        set sip_origins {
                type ipv4_addr
                elements = { 27.a.b.c, 51.p.q.r,
                             139.x.y.z }
        }

        set port_fw {
                type ipv4_addr
                elements = { 27.a.b.c }
        }

        set iax_ports {
                type inet_service
                elements = { 4501 }
        }

        chain input {
                type filter hook input priority 0; policy drop;
                iif "lo" accept
                tcp dport ssh ip saddr @ssh_evils counter packets 0 bytes 0 drop
                udp dport sip ip saddr @sip_evils counter packets 0 bytes 0 drop
                ct state vmap { invalid : drop, established : accept, related : accept, new : accept }
                udp dport { 1100-1199, 10000-20000 } accept
                udp dport @iax_ports accept
                udp dport { sip } ip saddr @sip_origins accept
                udp dport { sip } ip saddr @dialers accept
                tcp dport { ssh, http, https } accept
                icmp type echo-request limit rate 500/second accept
        }

        chain dummy1 {
                type filter hook prerouting priority -100; policy accept;
        }

        chain dummy2 {
                type filter hook forward priority 0; policy accept;
        }

        chain dummy3 {
                type filter hook postrouting priority 100; policy accept;
        }

        chain port_forward {
                type nat hook prerouting priority -10; policy accept;
                tcp dport 40004 ip saddr @port_fw dnat to 192.168.101.4:http
                tcp dport 40005 ip saddr @port_fw dnat to 192.168.101.5:http
                tcp dport 40009 ip saddr @port_fw dnat to 192.168.101.9:http
                tcp dport 50001 ip saddr @port_fw dnat to 10.1.1.2:http
        }

        chain sip_forward {
                type nat hook prerouting priority -10; policy accept;
                udp dport { 6060-6080 } redirect to :sip
        }

        chain tmp_forward {
                type nat hook prerouting priority -10; policy accept;
        }

        chain masq {
                type nat hook postrouting priority 10; policy accept;
                masquerade
        }
}

완전히 제거했으며 규칙 firewalld이 없습니다 iptables.

하지만 이 nftable구성은 연결을 허용하지 않으며 loopback심지어 ping 127.0.0.1시간 초과가 발생합니다.

다른 것(예 http: ssh포트 전달 등)은 완벽하게 작동합니다.

이에 대한 해결책을 찾을 수 없었습니다. nft monitor아무것도 인쇄하지 않습니다.

답변1

나는 그것을 알아! 문제는 무조건적인 masquerading법칙이었습니다.

나는 교체했다

chain masq {
        type nat hook postrouting priority 10; policy accept;
        masquerade
}

~와 함께

chain masq {
        type nat hook postrouting priority 10; policy accept;
        oif != "lo" masquerade
}

문제가 해결되었습니다!

답변1

관련 정보