マルチキャストトラフィックがNetfilter接続追跡システムに穴を開けることがある

Question

同様の設定を使用した後pimd、私は次の結論を出すことができます。

filter/FORWARDこのフローに対してマルチキャストルーティングが有効になっている限り、汎用（データ）マルチキャストパケットが転送されます。 conntrackエントリudp 17 29 src=10.4.4.5 dst=239.3.5.3 sport=10 dport=10 [UNREPLIED] src=239.3.5.3 dst=10.4.4.5 sport=10 dport=10 mark=0 use=1は転送されたフローであり、このコントラクトエントリをトリガする新しいパケットである1だけ合計nat/PREROUTINGカウンタをインクリメントします。nat/POSTROUTING
リンクローカルマルチキャストパケット（224.0.0.{1,22}のIGMPパケットと224.0.0.13のPIMv2）が停止しますfilter/INPUT。
フローが以前に有効になっている場合、マルチキャストルータは一定期間その特定のマルチキャスト宛先への転送を有効にします。設定されたタイムアウトが発生し、ファイアウォールが原因でLANからIGMPレポートを受信できない場合、またはファイアウォールがPIMv2を受信しない場合は、受信中のクライアントが存在しないか、有効なフローがないと見なされ、そのマルチキャスト配信を停止します。ストリーミング。

最後に、Linuxルーターが次のものを受け取ることを許可する必要があります。

ルータが受信しているマルチキャストクライアントを知ることができるLAN上のIGMPパケット：
```
iptables -A INPUT -i br0 -p igmp -j ACCEPT
```
私の特定の設定はpimdPIMv2を使用しています。そのプロトコルが常に使用されているかどうかはわかりませんが、ソースIPが192.0.0.1でない場合は、DROPポリシーを維持しながらPIMプロトコルが機能することを許可する必要があります。 2.1（ただし10.4.4.5）：
```
iptables -A INPUT -s 192.0.2.1 -i eth0 -p pim -j ACCEPT
```
ISPルーターでIGMPパケットを許可する必要があるかもしれませんが、私の特定の設定ではそれを必要としません。
```
iptables -A INPUT -s 192.0.2.1 -i eth0 -p igmp -j ACCEPT
```

修正する:

チェーンのDROPポリシーはfilter/INPUTまだヒットを示しています。 Linuxルーターの独自のIGMPおよびPIMv2パケット（マルチキャスト）は、外部に送信されるとローカルシステムにループバックされるため、上記のNot Enabledルールによって（害を受けずに）破棄されます。適切なルールを追加した後、PIMv2で奇妙な動作が発生し、.naルールも制限するようにパケットを表示するfilter/OUTPUT必要がありましたfilter/INPUT。最後に、次の規則を使用すると、filter/INPUTマルチキャストトラフィックを転送するときにDROPポリシーカウンタは常に[0：0]のままになります。

# Generated by iptables-save v1.6.2 on Mon Aug 27 01:01:48 2018
*nat
:PREROUTING ACCEPT [1:56]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [1:56]
[0:0] -A POSTROUTING -s 192.168.0.0/24 -o eth0 -m comment --comment SNAT -j MASQUERADE
COMMIT
# Completed on Mon Aug 27 01:01:48 2018
# Generated by iptables-save v1.6.2 on Mon Aug 27 01:01:48 2018
*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [1533311:325676232]
:OUTPUT ACCEPT [75:3724]
[0:0] -A INPUT -i lo -j ACCEPT
[1:56] -A INPUT -i eth0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
[40:1800] -A INPUT -i br0 -p igmp -j ACCEPT
[14:774] -A INPUT -s 192.0.2.1/32 -i eth0 -p pim -j ACCEPT
[28:1288] -A INPUT -s 192.0.2.1/32 -i eth0 -p igmp -j ACCEPT
[17:932] -A INPUT -s 192.0.2.79/32 -i eth0 -p igmp -j ACCEPT
[28:1392] -A INPUT -m mark --mark 0x1 -j ACCEPT
[28:1392] -A OUTPUT -p pim -j MARK --set-xmark 0x1/0xffffffff
COMMIT
# Completed on Mon Aug 27 01:01:48 2018

マルチキャストクライアントをシミュレートして標準出力にダンプできます。socat（複数のインタフェースがある場合はローカルIPを指定してください）：

socat -u UDP4-RECV:10,ip-add-membership=239.3.5.3:0.0.0.0 -

Answer 1