Форум русскоязычного сообщества Ubuntu


Увидели сообщение с непонятной ссылкой, спам, непристойность или оскорбление?
Воспользуйтесь ссылкой «Сообщить модератору» рядом с сообщением!

Автор Тема: nwfilter в libvirt  (Прочитано 1193 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн Int_20h

  • Автор темы
  • Участник
  • *
  • Сообщений: 137
    • Просмотр профиля
nwfilter в libvirt
« : 15 Августа 2013, 20:57:58 »
Я убил уже 2 дня, пытаясь понять, как настраиваются правила для виртуальных машин. Принцип понял, правила формирования политик изучил, но не могу осознать почему простые правила в цепочке не работают!

Формирую простейшие правила:
(Нажмите, чтобы показать/скрыть)

По-идее, после таких правил во внешнюю сеть должны проходить только http, dns и icmp. У меня же блокируется весь исходящий трафик. http работать не хочет.

При этом, если заменить последнее правило на:

  <rule action='drop' direction='out' priority='1000'>
    <tcp srcipaddr='$IP' dstportstart='22'/>
  </rule>

все работает согласно правилам (22 порт заблокирован, остальные открыты), значит drop отрабатывает корректно. Где косяк? Почему конструкция <all/> глушит весь трафик?

Оффлайн ArcFi

  • Старожил
  • *
  • Сообщений: 15189
    • Просмотр профиля
    • aetera.net
Re: nwfilter в libvirt
« Ответ #1 : 15 Августа 2013, 22:09:35 »
Нужно анализировать выхлоп iptables-save.

Оффлайн Int_20h

  • Автор темы
  • Участник
  • *
  • Сообщений: 137
    • Просмотр профиля
Re: nwfilter в libvirt
« Ответ #2 : 16 Августа 2013, 18:08:17 »
На мой непрофессиональный взгляд в iptables все в порядке...

Эти правила описываются как:

-A FI-vnet0 -s 192.168.122.100/32 -p tcp -m tcp --dport 80 -m state --state NEW,ESTABLISHED -m conntrack --ctdir REPLY -j RETURN
-A FI-vnet0 -p icmp -m state --state NEW,ESTABLISHED -m conntrack --ctdir REPLY -j RETURN
-A FI-vnet0 -s 192.168.122.100/32 -p udp -m udp --dport 53 -m state --state NEW,ESTABLISHED -m conntrack --ctdir REPLY -j RETURN
-A FI-vnet0 -p tcp -j DROP
-A FO-vnet0 -d 192.168.122.100/32 -p tcp -m tcp --sport 80 -m state --state ESTABLISHED -m conntrack --ctdir ORIGINAL -j ACCEPT
-A FO-vnet0 -p icmp -m state --state ESTABLISHED -m conntrack --ctdir ORIGINAL -j ACCEPT
-A FO-vnet0 -d 192.168.122.100/32 -p udp -m udp --sport 53 -m state --state ESTABLISHED -m conntrack --ctdir ORIGINAL -j ACCEPT
-A FO-vnet0 -p tcp -j DROP
-A HI-vnet0 -s 192.168.122.100/32 -p tcp -m tcp --dport 80 -m state --state NEW,ESTABLISHED -m conntrack --ctdir REPLY -j RETURN
-A HI-vnet0 -p icmp -m state --state NEW,ESTABLISHED -m conntrack --ctdir REPLY -j RETURN
-A HI-vnet0 -s 192.168.122.100/32 -p udp -m udp --dport 53 -m state --state NEW,ESTABLISHED -m conntrack --ctdir REPLY -j RETURN
-A HI-vnet0 -p tcp -j DROP


Если не сложно, укажите хотя бы направление куда копать. Проверяю работоспособность подключаясь к 192.168.1.232:80. Не работает.

Полный выхлоп тут:
(Нажмите, чтобы показать/скрыть)

Оффлайн Int_20h

  • Автор темы
  • Участник
  • *
  • Сообщений: 137
    • Просмотр профиля
Re: nwfilter в libvirt
« Ответ #3 : 26 Августа 2013, 14:38:25 »
???

 

Страница сгенерирована за 0.066 секунд. Запросов: 25.