Cả đời tôi không thể hiểu tại sao DROP lại bị ảnh hưởng bởi các yêu cầu gửi đi bắt nguồn từ VPS dựa trên openvz của tôi.
Tôi biết nó phải là một cái gì đó với cách gói không được gửi trực tiếp ra ngoài, hoặc một cái gì đó, và tôi dường như đang thiếu một số điều cơ bản ở đây. Tôi đã thử nhiều cách khác nhau và cách duy nhất tôi có thể làm cho nó hoạt động trở lại là xóa các quy tắc (iptables -F)
Mục tiêu là chặn tất cả lưu lượng truy cập đến, ngoại trừ từ một IP (1.2.3.4) và cổng 53/113 cho mọi người, đồng thời cho phép tất cả lưu lượng gửi đi.
Đây là đầu ra của iptables -L -n -v - Tôi có thể thấy số lượng gói DROP tăng lên khi tôi cố gắng cuộn ra bên ngoài. (IP được sửa đổi một chút để bảo mật)
Chuỗi INPUT (chính sách CHẤP NHẬN 0 gói, 0 byte)
pkts byte đích prot chọn không tham gia đích nguồn
239 17668 CHẤP NHẬN tất cả -- * * 1.2.3.4 0.0.0.0/0
118 11175 CHẤP NHẬN udp -- * * 0.0.0.0/0 0.0.0.0/0 udp spt:53
3 174 CHẤP NHẬN udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:53
17 1176 CHẤP NHẬN tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:113
0 0 CHẤP NHẬN tất cả -- lo * 0.0.0.0/0 0.0.0.0/0
2238 119K THẢ tất cả -- * * 0.0.0.0/0 0.0.0.0/0
Chuỗi FORWARD (chính sách CHẤP NHẬN 0 gói, 0 byte)
pkts byte đích prot chọn không tham gia đích nguồn
ĐẦU RA chuỗi (chính sách CHẤP NHẬN 0 gói, 0 byte)
pkts byte đích prot chọn không tham gia đích nguồn
889 56648 CHẤP NHẬN tất cả -- * * 0.0.0.0/0 0.0.0.0/0
đây là từ iptables-save (IP được sửa đổi một chút để bảo mật)
# Được tạo bởi iptables-save v1.8.4 vào Thứ Năm ngày 2 tháng 12 02:42:40 năm 2021
*lọc
:INPUT CHẤP NHẬN [0:0]
:CHẤP NHẬN VỀ PHÍA TRƯỚC [0:0]
:CHẤP NHẬN ĐẦU RA [0:0]
-A INPUT -s 1.2.3.4/32 -j CHẤP NHẬN
-A INPUT -p udp -m udp --sport 53 -j CHẤP NHẬN
-A INPUT -p udp -m udp --dport 53 -j CHẤP NHẬN
-A INPUT -p tcp -m tcp --dport 113 -j CHẤP NHẬN
-A INPUT -i lo -j CHẤP NHẬN
-A INPUT -j DROP
-A ĐẦU RA -j CHẤP NHẬN
LÀM
# Hoàn thành ngày Thu 2 02:42:40 2021
đây là các giao diện (IP được sửa đổi một chút để bảo mật)
venet0: flags=211<UP,BROADCAST,POINTOPOINT,RUNNING,NOARP> mtu 1500
inet 127.0.0.1 netmask 255.255.255.255 phát 0.0.0.0 đích 127.0.0.1
inet6 2a00:d880:3:1::ad49:a3f2 tiền tốlen 128 phạm vi 0x0<toàn cầu>
inet6 2a00:d880:3:1::a639:a610 tiền tốlen 128 phạm vi 0x0<toàn cầu>
venet0:0: flags=211<UP,BROADCAST,POINTOPOINT,RUNNING,NOARP> mtu 1500
inet 81.1.1.1 netmask 255.255.255.255 phát sóng 81.1.1.1 đích 81.1.1.1
