Iptables - как это работает

@a13428711 · Регистрация: 09.02.2016

Студворк — интернет-сервис помощи студентам

Добрый вечер!
Последнюю неделю разбирался с настройкой VPN и плавно ушел в дебри Ubuntu, а именно в настройку фаервола.
Для чистоты экспериментов накатил чистую ubuntu на виртуальную машину. Команда ifconfig -a выдает:

Code
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.226.130  netmask 255.255.255.0  broadcast 192.168.226.255
        inet6 fe80::f529:72c3:74e:cf3d  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:ef:df:98  txqueuelen 1000  (Ethernet)
        RX packets 5303  bytes 3305340 (3.3 MB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 1859  bytes 187968 (187.9 KB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
 
lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 1000  (Local Loopback)
        RX packets 476  bytes 48659 (48.6 KB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 476  bytes 48659 (48.6 KB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

По умолчанию все правила в

Code
1
iptables -L

имеют глобальные значения ACCEPT. Дополнительных правил нет. При этом команда ping успешно пингует вообще любой адрес который я в нее впишу.

Затем установил iptables -P INPUT DROP, при этом пропала возможность пинговать даже 127.0.0.1 и адрес сетевого интерфейса. Может быть логично, так как мы запретили вообще все входящие пакеты. Разрешаю ответы на запросы:

Code
1
iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

Но пинга по прежнему нет.
Единственное, что пингуется это 192.168.226.2, подсмотренный в ip route:

Code
1
2
3
default via 192.168.226.2 dev ens33 proto dhcp metric 100 
169.254.0.0/16 dev ens33 scope link metric 1000 
192.168.226.0/24 dev ens33 proto kernel scope link src 192.168.226.130 metric 100

Отсюда вопросы:
1) Почему до установки INPUTS в DROP пинговались вообще все адреса, которые приходили мне в голову?
2) Почему после разрешения RELATED,ESTABLISHED в INPUTS не пинговались адреса 127.0.0.1 и адрес сетевого интерфейса?
3) Что это вообще за 192.168.226.2, единственный адрес, который пингуется?
4) Как исправить ситуацию из п.2?

Всем спасибо за участие!

@Alex1126 · 28.10.2024, 23:13

Сообщение от a13428711

Alex1126, прикол в том, что нет, но судя по логам iptraf пакеты приходят на сервер на этот айпишник и поддерживают туннель в поднятом состоянии.

они туда приходят так как он указан шлюзом по умолчанию, скорее всего. Туда вообще все будет приходить, что не для домашней сети

Новые блоги и статьи Все статьи Все блоги /
GitDOS: Когда я решил скрестить MS-DOS, GitHub и Claude MaGz GoLd 08.07.2026 Привет, Киберфорум! Хочу поделиться своим проектом, который, надеюсь, вас заинтересует. GitDOS — это веб-приложение, которое позволяет запускать DOS в браузере с тремя крутыми фичами: диски живут в. . .	Учебный мини "цифровой двойник" = (Сервер = Java + Flask_питон )+(3D = Гугловскаая 4T nvideo + google colab) +( WMS = Odoo на Docker) anaschu 07.07.2026 Увидел в требованиях к вакансии создателя имитационных моделей связку (REst + Api + WMS + Anylogic + питон + 3D Nvideo), и решил посмотреть, что это такое. Из этого всего я работал более менее. . .	Море в объективе kumehtar 06.07.2026 Хотел написать много проникновенных слов, но передумал. Оно само - говорит. Кто слышит тот слышит.	Doom для терминала без стрельбы и монстров. 3D Raycasting на ascii. dcc0 05.07.2026 Попросил нейронную сеть deepai. org написать рейкастинг 3D с библиотекой ncurses для Linux. Чтобы можно было ходить на стрелочки. Чтобы стены были отрисованы символами. Справилась. Первый вариант. . .
Установка статуса документа по условию Maks 05.07.2026 Алгоритм из решения ниже реализован на нетиповом документе "НарядПутевка" разработанного в КА2. Задача: в табличной части "Материалы" документа при записи автоматически устанавливать статус. . .	Сезонность и суточность закисления почв anaschu 04.07.2026 200 часов это все равно моловато. Есть ситуации, но нестандартные, когда смена происходит за 5 лет. Но обычно это 50 лет и более. Наверное, закисление почвы происходит сезонно в средней. . .	В чем ценность человеческого опыта в глобальном смысле? kumehtar 03.07.2026 Возможно, ценность человека не в том, что он однажды достигает мудрости, а в том, что он становится носителем карты пути. Он знает не только истину, но и последовательность внутренних изменений,. . .	интеграция AnyLogic с самописным REST API и переход на Odoo anaschu 03.07.2026 Успешная интеграция AnyLogic с самописным REST API и переход на промышленную Odoo WMS Сегодня проделал огромный путь от простой симуляции физических процессов до построения полноценной. . .