☰

OpenVZ: Node iptables não anexa regras

tag-icon • tag-icon linux debian iptables linux-networking openvz
OpenVZ: Node iptables não anexa regras

Eu quero fazer um conjunto de regras no iptables dentro de um nó, mas parece que o iptables não está anexando todas as regras ou de alguma forma e me expulsa toda vez que executo o seguinte script (estou usando este conjunto de regras em outros servidores e funciona bem):

# Allow connections that are already connected to your server
iptables -A INPUT -i venet0 -m state --state ESTABLISHED,RELATED -j ACCEPT

# Allow connections to SSH
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT

# Allowing connections to HTTP/HTTPS
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -m state --state NEW -j ACCEPT

# Allow icmp input but limit it to 10/sec
iptables -A INPUT -p icmp -m limit --limit 10/second -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT

# Allow all incoming traffic from local
iptables -A INPUT -i lo -j ACCEPT

# Changing the default policy for INPUT chain
iptables -A INPUT -j DROP

O problema que encontrei (eu acho) é que a última linha (DROP qualquer coisa) é interpretada como uma e é por isso que o servidor me expulsa.

Já mudei o conf para vz:

IPTABLES_MODULES="ipt_REJECT ipt_tos ipt_limit ipt_multiport iptable_filter iptable_mangle ipt_TCPMSS ipt_tcpmss ipt_ttl ipt_length ipt_state xt_state ip_conntrack"

Qualquer ajuda com isso é apreciada.

Obrigado.

Responder1

Tenho visto mais problemas com o OpenVZ e com o uso de "ESTABLISHED,RELATED". Infelizmente, não consegui descobrir como consertar as instalações do OpenVZ que, por algum motivo, não permitem iptables com estado em contêineres.

Mas com as regras IPTable razoavelmente simples que você possui, você realmente precisa que elas tenham estado? Acho que o seguinte funcionará igualmente bem:

# Allow connections to SSH
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# Allowing connections to HTTP/HTTPS
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# Allow icmp input but limit it to 10/sec
iptables -A INPUT -p icmp -m limit --limit 10/second -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT

# Allow all incoming traffic from local
iptables -A INPUT -i lo -j ACCEPT

# Changing the default policy for INPUT chain
iptables -A INPUT -j DROP

informação relacionada