LINUX.ORG.RU
Форум — Admin  

UFW блокирует соединения непонятно зачем


0

1

Привет!

Для управления iptables использую ufw. Задал на нем ряд стандартных правил:

sudo ufw status
Status: active

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW       Anywhere
80/tcp                     ALLOW       Anywhere
4949                       ALLOW       Anywhere

Т.е. заблочить все, кроме определенных портов. Однако, в kern.log много таких сообщений: 

Feb 15 12:02:04 cs3799 kernel: [31868751.541035] [UFW BLOCK] IN=eth0 OUT= MAC=00:25:90:01:5e:b0:88:e0:f3:b6:47:c0:08:00 SRC=22.136.17.126 DST=18.93.78.68 LEN=40 TOS=0x00 PREC=0x00 TTL=115 ID=64610 DF PROTO=TCP SPT=5000 DPT=80 WINDOW=65535 RES=0x00 ACK FIN URGP=0

Почему ufw блокирует эти пакеты?

★★

Последнее исправление: Kpoxman (всего исправлений: 1)
← ICMP router discovery в Linux
Проблемы с cron →

Ответ на: комментарий от drBatty

Да, действительно, ufw, как и iptables - надстройка. В выводе есть упомянание [UFW BLOCK]. Но мне все еще не понятно, что значит [UFW BLOCK] в логах. Надо, видимо, подробно читать про iptables/netfilter.

Может, вы знаете?

$ sudo iptables-save
# Generated by iptables-save v1.4.4 on Wed Feb 15 12:53:50 2012
*filter
:INPUT DROP [9216:1240591]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [189600:7723872]
:ufw-after-forward - [0:0]
:ufw-after-input - [0:0]
:ufw-after-logging-forward - [0:0]
:ufw-after-logging-input - [0:0]
:ufw-after-logging-output - [0:0]
:ufw-after-output - [0:0]
:ufw-before-forward - [0:0]
:ufw-before-input - [0:0]
:ufw-before-logging-forward - [0:0]
:ufw-before-logging-input - [0:0]
:ufw-before-logging-output - [0:0]
:ufw-before-output - [0:0]
:ufw-logging-allow - [0:0]
:ufw-logging-deny - [0:0]
:ufw-not-local - [0:0]
:ufw-reject-forward - [0:0]
:ufw-reject-input - [0:0]
:ufw-reject-output - [0:0]
:ufw-skip-to-policy-forward - [0:0]
:ufw-skip-to-policy-input - [0:0]
:ufw-skip-to-policy-output - [0:0]
:ufw-track-input - [0:0]
:ufw-track-output - [0:0]
:ufw-user-forward - [0:0]
:ufw-user-input - [0:0]
:ufw-user-limit - [0:0]
:ufw-user-limit-accept - [0:0]
:ufw-user-logging-forward - [0:0]
:ufw-user-logging-input - [0:0]
:ufw-user-logging-output - [0:0]
:ufw-user-output - [0:0]
-A INPUT -j ufw-before-logging-input 
-A INPUT -j ufw-before-input 
-A INPUT -j ufw-after-input 
-A INPUT -j ufw-after-logging-input 
-A INPUT -j ufw-reject-input 
-A INPUT -j ufw-track-input 
-A FORWARD -j ufw-before-logging-forward 
-A FORWARD -j ufw-before-forward 
-A FORWARD -j ufw-after-forward 
-A FORWARD -j ufw-after-logging-forward 
-A FORWARD -j ufw-reject-forward 
-A OUTPUT -j ufw-before-logging-output 
-A OUTPUT -j ufw-before-output 
-A OUTPUT -j ufw-after-output 
-A OUTPUT -j ufw-after-logging-output 
-A OUTPUT -j ufw-reject-output 
-A OUTPUT -j ufw-track-output 
-A ufw-after-input -p udp -m udp --dport 137 -j ufw-skip-to-policy-input 
-A ufw-after-input -p udp -m udp --dport 138 -j ufw-skip-to-policy-input 
-A ufw-after-input -p tcp -m tcp --dport 139 -j ufw-skip-to-policy-input 
-A ufw-after-input -p tcp -m tcp --dport 445 -j ufw-skip-to-policy-input 
-A ufw-after-input -p udp -m udp --dport 67 -j ufw-skip-to-policy-input 
-A ufw-after-input -p udp -m udp --dport 68 -j ufw-skip-to-policy-input 
-A ufw-after-input -m addrtype --dst-type BROADCAST -j ufw-skip-to-policy-input 
-A ufw-after-logging-forward -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] " 
-A ufw-after-logging-input -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] " 
-A ufw-before-forward -j ufw-user-forward 
-A ufw-before-input -i lo -j ACCEPT 
-A ufw-before-input -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A ufw-before-input -m state --state INVALID -j ufw-logging-deny 
-A ufw-before-input -m state --state INVALID -j DROP 
-A ufw-before-input -p icmp -m icmp --icmp-type 3 -j ACCEPT 
-A ufw-before-input -p icmp -m icmp --icmp-type 4 -j ACCEPT 
-A ufw-before-input -p icmp -m icmp --icmp-type 11 -j ACCEPT 
-A ufw-before-input -p icmp -m icmp --icmp-type 12 -j ACCEPT 
-A ufw-before-input -p icmp -m icmp --icmp-type 8 -j ACCEPT 
-A ufw-before-input -p udp -m udp --sport 67 --dport 68 -j ACCEPT 
-A ufw-before-input -j ufw-not-local 
-A ufw-before-input -s 224.0.0.0/4 -j ACCEPT 
-A ufw-before-input -d 224.0.0.0/4 -j ACCEPT 
-A ufw-before-input -j ufw-user-input 
-A ufw-before-output -o lo -j ACCEPT 
-A ufw-before-output -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A ufw-before-output -j ufw-user-output 
-A ufw-logging-allow -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW ALLOW] " 
-A ufw-logging-deny -m state --state INVALID -m limit --limit 3/min --limit-burst 10 -j RETURN 
-A ufw-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW BLOCK] " 
-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN 
-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN 
-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN 
-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny 
-A ufw-not-local -j DROP 
-A ufw-skip-to-policy-forward -j DROP 
-A ufw-skip-to-policy-input -j DROP 
-A ufw-skip-to-policy-output -j ACCEPT 
-A ufw-track-output -p tcp -m state --state NEW -j ACCEPT 
-A ufw-track-output -p udp -m state --state NEW -j ACCEPT 
-A ufw-user-input -p tcp -m tcp --dport 22 -j ACCEPT 
-A ufw-user-input -p tcp -m tcp --dport 80 -j ACCEPT 
-A ufw-user-input -p tcp -m tcp --dport 4949 -j ACCEPT 
-A ufw-user-input -p udp -m udp --dport 4949 -j ACCEPT 
-A ufw-user-limit -m limit --limit 3/min -j LOG --log-prefix "[UFW LIMIT BLOCK] " 
-A ufw-user-limit -j REJECT --reject-with icmp-port-unreachable 
-A ufw-user-limit-accept -j ACCEPT 
COMMIT
# Completed on Wed Feb 15 12:53:51 2012
Kpoxman ★★
() автор топика
Ответ на: комментарий от Kpoxman

Kpoxman

Может, вы знаете?

Kpoxman

:INPUT DROP [9216:1240591]

да, знаю. У вас ВСЕ входящие пакеты выкидываются.

Потом они разрешаются,

Kpoxman

-A ufw-user-input -p tcp -m tcp --dport 80 -j ACCEPT

но что разрешать, если уже ВСЁ в помойке? Ищите галку «запретить все входящие соединения» или что-то такое...

drBatty ★★
()
Ответ на: комментарий от drBatty

Дело в том, что сервис-таки работает. HTTP запросы ходят, и их много. Но смущают в логах эти записи, поэтому и стал разбираться.

Полдня сегодня читал про iptables, но так и не понял замудренной конструкции, создаваемой ufw.

Kpoxman ★★
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← ICMP router discovery в Linux
Admin
Проблемы с cron →