Правила iptables не работают для разрешения определенного IP

Question 1

Если вы используете VPN-клиент на этом хосте для создания второго интерфейса, не забудьте такжеразрешить подключения к VPN-серверу, в противном случае ваш локальный IP-адрес 10.147.18.192больше не будет доступен.

Вам необходимо как минимум разрешить исходящий и входящий трафик к/от VPN-сервера на интерфейсе wlp0s20f3:

iptables -I OUTPUT -d $vpn_server_ip -p $proto --dport $vpn_port -j ACCEPT
iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

$proto будет udpили tcp, и $vpn_server_ip: $vpn_portIP-адрес или диапазон и порт VPN-сервера(ов)

Я не могу точно угадать эти значения, но ваша документация по VPN или tcpdump/wireguard с работающим установленным соединением с VPN-туннелем должны предоставить вам эту информацию.

Answer

Если вы используете VPN-клиент на этом хосте для создания второго интерфейса, не забудьте такжеразрешить подключения к VPN-серверу, в противном случае ваш локальный IP-адрес 10.147.18.192больше не будет доступен.

Вам необходимо как минимум разрешить исходящий и входящий трафик к/от VPN-сервера на интерфейсе wlp0s20f3:

iptables -I OUTPUT -d $vpn_server_ip -p $proto --dport $vpn_port -j ACCEPT
iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

$proto будет udpили tcp, и $vpn_server_ip: $vpn_portIP-адрес или диапазон и порт VPN-сервера(ов)

Я не могу точно угадать эти значения, но ваша документация по VPN или tcpdump/wireguard с работающим установленным соединением с VPN-туннелем должны предоставить вам эту информацию.

Question 2

Эти две команды, которые вы упомянули в своем вопросе:

iptables -A INPUT -s 10.147.18.80 -j ACCEPT
iptables -A OUTPUT -d 10.147.18.80 -j ACCEPT

Они добавляют эти правила в конец цепочек. -Aoption добавляет правило в конец. Если вы используете -Ioption, вы поместите правило в начало цепочки.

Проблема здесь в том, что у вас, вероятно, уже есть правило DROPили REJECT, перед ACCEPTправилом в одной из цепочек, которое сбрасывает трафик до того, как он достигнет конца цепочки. Например, правило, которое сбрасывает трафик в или из целой подсети, содержащей IP 10.147.18.80.

Если у вас есть правило в цепочке, которое сбрасывает/отклоняет трафик на этот IP-адрес или с этого IP-адреса в зависимости от того, является ли это цепочкой INPUT или OUTPUT, перед правилом ACCEPT, то независимо от того, указывает ли правило только этот IP-адрес или всю подсеть, трафик сбрасывается, а все остальные правила в цепочке больше не обрабатываются.

DROP, REJECT, ACCEPTявляются завершающими целями, как только iptables сопоставляет это правило, он прекращает обработку других правил в цепочке и не переходит к следующему правилу.

Пытаться

iptables -I INPUT -s 10.147.18.80 -j ACCEPT
iptables -I OUTPUT -d 10.147.18.80 -j ACCEPT

Это поместит эти правила в начало цепочек, и они будут первыми правилами, которые будут обработаны, а другие правила не будут обрабатываться для этого трафика в этих цепочках.

Вы можете перечислить все правила в цепочке с помощью чего-то вроде

iptables -nvL

или если вы хотите просмотреть только определенные сети

iptables -nvL INPUT 
iptables -nvL OUTPUT

РЕДАКТИРОВАТЬ

Учитывая вставленный вами вывод и тот факт, что вы можете выполнить ping, если измените действия по умолчанию на ACCEPTэти, проблема, похоже, не в этом.

Вы можете использовать что-то вроде tcpdump, чтобы проверить, идет ли трафик и возвращается ли он обратно.

Команда, подобная этой, выдаст вам все пакеты ICMP, отправленные или полученные машиной.

tcpdump -nnvvi any icmp

Если вы получили что-то вроде этого на выходе

10:13:48.866598 IP (tos 0x0, ttl 255, id 30625, offset 0, flags [DF], proto ICMP (1), length 84)
    10.147.18.192 > 10.147.18.80: ICMP echo request, id 26621, seq 4, length 64
10:13:48.867771 IP (tos 0x0, ttl 53, id 0, offset 0, flags [none], proto ICMP (1), length 84)
    10.147.18.80 > 10.147.18.192: ICMP echo reply, id 26621, seq 4, length 64

Затем ваши ping-пакеты отправляются и возвращаются, но отклоняются каким-то другим правилом.

Вы можете проверить, есть ли у вас какие-либо другие правила в других таблицах, например, в таблицах nat или mingle, и не конфликтуют ли некоторые из них с трафиком.

iptables -t nat -nvL
iptables -t mingle -nvL

Вы также можете увидеть, проходят ли пакеты через правило ACCEPT в цепочке OUTPUT по номеру ниже pktsв листинге. Если это число увеличивается после попытки пинга, но число в цепочке INPUT остается 0, то проблема связана с правилами входящего трафика.

Также проверьте свои маршруты с помощью ip rкоманды или чего-то подобного, возможно, трафик не выходит через интерфейс в той же подсети, поэтому исходный IP-адрес возвращаемых пакетов может быть изменен из-за некоторых правил NAT на пути.

Answer