Iptables - как это работает

@a13428711 · Регистрация: 09.02.2016

Author24 — интернет-сервис помощи студентам

Добрый вечер!
Последнюю неделю разбирался с настройкой VPN и плавно ушел в дебри Ubuntu, а именно в настройку фаервола.
Для чистоты экспериментов накатил чистую ubuntu на виртуальную машину. Команда ifconfig -a выдает:

Код

ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.226.130  netmask 255.255.255.0  broadcast 192.168.226.255
        inet6 fe80::f529:72c3:74e:cf3d  prefixlen 64  scopeid 0x20<link>
        ether 00:0c:29:ef:df:98  txqueuelen 1000  (Ethernet)
        RX packets 5303  bytes 3305340 (3.3 MB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 1859  bytes 187968 (187.9 KB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 1000  (Local Loopback)
        RX packets 476  bytes 48659 (48.6 KB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 476  bytes 48659 (48.6 KB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

По умолчанию все правила в

Код

iptables -L

имеют глобальные значения ACCEPT. Дополнительных правил нет. При этом команда ping успешно пингует вообще любой адрес который я в нее впишу.

Затем установил iptables -P INPUT DROP, при этом пропала возможность пинговать даже 127.0.0.1 и адрес сетевого интерфейса. Может быть логично, так как мы запретили вообще все входящие пакеты. Разрешаю ответы на запросы:

Код

iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

Но пинга по прежнему нет.
Единственное, что пингуется это 192.168.226.2, подсмотренный в ip route:

Код

default via 192.168.226.2 dev ens33 proto dhcp metric 100 
169.254.0.0/16 dev ens33 scope link metric 1000 
192.168.226.0/24 dev ens33 proto kernel scope link src 192.168.226.130 metric 100

Отсюда вопросы:
1) Почему до установки INPUTS в DROP пинговались вообще все адреса, которые приходили мне в голову?
2) Почему после разрешения RELATED,ESTABLISHED в INPUTS не пинговались адреса 127.0.0.1 и адрес сетевого интерфейса?
3) Что это вообще за 192.168.226.2, единственный адрес, который пингуется?
4) Как исправить ситуацию из п.2?

Всем спасибо за участие!

@Alex1126 · 01.10.2024, 22:17

Сообщение от a13428711

Почему до установки INPUTS в DROP пинговались вообще все адреса, которые приходили мне в голову?

ну наверно не любой, а все же существующий. Пинговалось потому что все было разрешено.

Сообщение от a13428711

Почему после разрешения RELATED,ESTABLISHED в INPUTS не пинговались адреса 127.0.0.1 и адрес сетевого интерфейса?

это команда разрешает входящие пакеты по уже установленным соединениям (ftp, tcp). Пинг он как бы не устанавливает соединение. Он шлет запрос, а ему в ответ приходит ответ.

Сообщение от a13428711

Что это вообще за 192.168.226.2, единственный адрес, который пингуется?

тут не готов сказать. Это шлюз по умолчанию.

Сообщение от a13428711

Как исправить ситуацию из п.2?

разрешите пинг и все будет

@a13428711 · 01.10.2024, 22:28 **[ТС]**

Сообщение от Alex1126

ну наверно не любой, а все же существующий

Я штук пять просто из головы вытянул из разных диапазонов и все пропинговались...

Сообщение от Alex1126

разрешите пинг и все будет

Не подскажете как? Смотрел по видео обучалке, тап парень в онлайне рассказывал и показывал, что после глобального INPUT DROP падает даже пинг, но после RELATED,ESTABLISHED у него все заработало снова. Я и был уверен, что на пинг тоже распространяется)

Добавлено через 5 минут

Код

iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

Спасибо за наводку. Добавил и пинг завелся и для localhost и для 192.168.226.130

Пойду дальше ковырять)

@Alex1126 · 01.10.2024, 22:28

Код

iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT

разрешаем входящие запросы на пинг (то есть нас пингуют)

Код

iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT

разрешаем исходящие ответы на пинг (то есть мы ответим на запрос пинга)

@a13428711 · 01.10.2024, 22:30 **[ТС]**

Сообщение от Alex1126

разрешаем исходящие ответы на пинг

Не знал что нужно отдельно на запрос и ответ давать разрешения. Спасибо)

@Alex1126 · 01.10.2024, 22:31

обычно просто пинги разрешают без указания подробностей.

@a13428711 4 / 4 / 1 Регистрация: 09.02.2016 Сообщений: 240
		1
	Iptables - как это работает 01.10.2024, 22:00. Показов 162. Ответов 5 Метки нет (Все метки) Добрый вечер! Последнюю неделю разбирался с настройкой VPN и плавно ушел в дебри Ubuntu, а именно в настройку фаервола. Для чистоты экспериментов накатил чистую ubuntu на виртуальную машину. Команда ifconfig -a выдает: Код ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500 inet 192.168.226.130 netmask 255.255.255.0 broadcast 192.168.226.255 inet6 fe80::f529:72c3:74e:cf3d prefixlen 64 scopeid 0x20<link> ether 00:0c:29:ef:df:98 txqueuelen 1000 (Ethernet) RX packets 5303 bytes 3305340 (3.3 MB) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 1859 bytes 187968 (187.9 KB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 lo: flags=73<UP,LOOPBACK,RUNNING> mtu 65536 inet 127.0.0.1 netmask 255.0.0.0 inet6 ::1 prefixlen 128 scopeid 0x10<host> loop txqueuelen 1000 (Local Loopback) RX packets 476 bytes 48659 (48.6 KB) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 476 bytes 48659 (48.6 KB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 По умолчанию все правила в Код iptables -L имеют глобальные значения ACCEPT. Дополнительных правил нет. При этом команда ping успешно пингует вообще любой адрес который я в нее впишу. Затем установил iptables -P INPUT DROP, при этом пропала возможность пинговать даже 127.0.0.1 и адрес сетевого интерфейса. Может быть логично, так как мы запретили вообще все входящие пакеты. Разрешаю ответы на запросы: Код iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT Но пинга по прежнему нет. Единственное, что пингуется это 192.168.226.2, подсмотренный в ip route: Код default via 192.168.226.2 dev ens33 proto dhcp metric 100 169.254.0.0/16 dev ens33 scope link metric 1000 192.168.226.0/24 dev ens33 proto kernel scope link src 192.168.226.130 metric 100 Отсюда вопросы: 1) Почему до установки INPUTS в DROP пинговались вообще все адреса, которые приходили мне в голову? 2) Почему после разрешения RELATED,ESTABLISHED в INPUTS не пинговались адреса 127.0.0.1 и адрес сетевого интерфейса? 3) Что это вообще за 192.168.226.2, единственный адрес, который пингуется? 4) Как исправить ситуацию из п.2? Всем спасибо за участие! 0

@Alex1126 57 / 43 / 14 Регистрация: 12.12.2020 Сообщений: 439
	01.10.2024, 22:17	2
	Сообщение от a13428711 Почему до установки INPUTS в DROP пинговались вообще все адреса, которые приходили мне в голову? ну наверно не любой, а все же существующий. Пинговалось потому что все было разрешено. Сообщение от a13428711 Почему после разрешения RELATED,ESTABLISHED в INPUTS не пинговались адреса 127.0.0.1 и адрес сетевого интерфейса? это команда разрешает входящие пакеты по уже установленным соединениям (ftp, tcp). Пинг он как бы не устанавливает соединение. Он шлет запрос, а ему в ответ приходит ответ. Сообщение от a13428711 Что это вообще за 192.168.226.2, единственный адрес, который пингуется? тут не готов сказать. Это шлюз по умолчанию. Сообщение от a13428711 Как исправить ситуацию из п.2? разрешите пинг и все будет 1

@a13428711 4 / 4 / 1 Регистрация: 09.02.2016 Сообщений: 240
	01.10.2024, 22:28 [ТС]	3
	Сообщение от Alex1126 ну наверно не любой, а все же существующий Я штук пять просто из головы вытянул из разных диапазонов и все пропинговались... Сообщение от Alex1126 разрешите пинг и все будет Не подскажете как? Смотрел по видео обучалке, тап парень в онлайне рассказывал и показывал, что после глобального INPUT DROP падает даже пинг, но после RELATED,ESTABLISHED у него все заработало снова. Я и был уверен, что на пинг тоже распространяется) Добавлено через 5 минут Код iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT Спасибо за наводку. Добавил и пинг завелся и для localhost и для 192.168.226.130 Пойду дальше ковырять) 0

@Alex1126 57 / 43 / 14 Регистрация: 12.12.2020 Сообщений: 439
	01.10.2024, 22:28	4
	Код iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT разрешаем входящие запросы на пинг (то есть нас пингуют) Код iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT разрешаем исходящие ответы на пинг (то есть мы ответим на запрос пинга) 1

@a13428711 4 / 4 / 1 Регистрация: 09.02.2016 Сообщений: 240
	01.10.2024, 22:30 [ТС]	5
	Сообщение от Alex1126 разрешаем исходящие ответы на пинг Не знал что нужно отдельно на запрос и ответ давать разрешения. Спасибо) 0

@Alex1126 57 / 43 / 14 Регистрация: 12.12.2020 Сообщений: 439
	01.10.2024, 22:31	6
	обычно просто пинги разрешают без указания подробностей. 0

Опции темы