☰

iptablesの出力チェーンルール

tag-icon • tag-icon iptables netfilter
iptablesの出力チェーンルール

netfilterINPUT私のチェーンから拒否されたトラフィックは私のチェーンを通して許可されているようですOUTPUT。INPUT関連するパケットチェーンに適用される規則は次のとおりです。

 LOG         all  --  *  *   0.0.0.0/0  0.0.0.0/0    LOG flags 0 level 6 prefix "ICATCH:"
 REJECT-PKT  all  --  *  *   0.0.0.0/0  0.0.0.0/0

カスタムREJECT-PKTチェーンと関連ルール：

 REJECT    tcp  --  *  *  0.0.0.0/0    0.0.0.0/0    tcp reject-with tcp-reset

記録された結果は次のとおりです。

May 15 06:41:51 li51-144 kernel: ICATCH:IN=eth0 OUT= MAC=f2:3c:91:1f:61:44:84:78:ac:0d:97:c1:08:00 SRC=188.138.135.9 DST=<my IP> LEN=40 TOS=0x00 PREC=0x00 TTL=46 ID=46841 PROTO=TCP SPT=8838 DPT=23 WINDOW=22014 RES=0x00 SYN URGP=0
May 15 06:41:51 li51-144 kernel: OCATCH:IN= OUT=eth0 SRC=<my IP> DST=188.138.135.9 LEN=40 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=TCP SPT=23 DPT=8838 WINDOW=0 RES=0x00 ACK RST URGP=0

2番目の行は、テーブルの次の（最後から2番目の）規則に従って作成されますOUTPUT。

LOG        all  --  0.0.0.0/0            0.0.0.0/0            LOG flags 0 level 6 prefix "OCATCH:"

私の考えに拒否されたパケットは、カーネルによって示され、ルールによってRST生成されiptablesたフラグを持つTCPトラフィックはファイアウォールによって処理されないことです。

私は何を間違って理解しましたか？

答え1

@Aaronが言ったように、これは正常です。

着信パケットがルールREJECT に達すると、netfilterによって処理され、RSTパケットとメッセージで送信者に応答します。

ただし、逆に設定すると、DROPそのソースからのメッセージは受信されません。

このリンクをチェックしてください： DROPとREJECTの違い

tcpdump出力を実行またはwiresharkキャプチャし、ハブの下で何が起こっているかを確認することをお勧めします。

関連情報