☰

OpenVZ: Node iptables не добавляет правила

tag-icon • tag-icon linux debian iptables linux-networking openvz
OpenVZ: Node iptables не добавляет правила

Я хочу создать набор правил для iptables внутри узла, но, похоже, iptables не добавляет все правила или каким-то образом выкидывает меня каждый раз, когда я запускаю следующий скрипт (я использую этот набор правил на других серверах, и он отлично работает):

# Allow connections that are already connected to your server
iptables -A INPUT -i venet0 -m state --state ESTABLISHED,RELATED -j ACCEPT

# Allow connections to SSH
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT

# Allowing connections to HTTP/HTTPS
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -m state --state NEW -j ACCEPT

# Allow icmp input but limit it to 10/sec
iptables -A INPUT -p icmp -m limit --limit 10/second -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT

# Allow all incoming traffic from local
iptables -A INPUT -i lo -j ACCEPT

# Changing the default policy for INPUT chain
iptables -A INPUT -j DROP

Проблема, которую я обнаружил (я полагаю), заключается в том, что последняя строка (DROP anything) интерпретируется как таковая, и именно поэтому сервер выкидывает меня.

Я уже изменил конфигурацию для vz:

IPTABLES_MODULES="ipt_REJECT ipt_tos ipt_limit ipt_multiport iptable_filter iptable_mangle ipt_TCPMSS ipt_tcpmss ipt_ttl ipt_length ipt_state xt_state ip_conntrack"

Любая помощь в этом вопросе приветствуется.

Спасибо.

решение1

Я видел больше проблем с OpenVZ и использованием "ESTABLISHED,RELATED". К сожалению, я не смог найти, как исправить установки OpenVZ, которые по какой-то причине не допускают stateful iptables в контейнерах.

Но с достаточно простыми правилами IPTable, которые у вас есть, действительно ли вам нужно, чтобы они были с отслеживанием состояния? Я думаю, что следующее будет работать так же хорошо:

# Allow connections to SSH
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# Allowing connections to HTTP/HTTPS
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# Allow icmp input but limit it to 10/sec
iptables -A INPUT -p icmp -m limit --limit 10/second -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT

# Allow all incoming traffic from local
iptables -A INPUT -i lo -j ACCEPT

# Changing the default policy for INPUT chain
iptables -A INPUT -j DROP

Связанный контент