Tôi đang chạy máy chủ web (nginx 1.21.6) trên hệ thống Debian 11 với nftables 0.9.8.
Cấu hình nftables của tôi là:
bộ lọc inet bảng {
chuỗi đầu vào {
loại móc bộ lọc đầu vào bộ lọc ưu tiên; giảm chính sách;
ip saddr @ spamhaus4 bộ đếm gói 0 byte 0 drop
ip6 saddr @ spamhaus6 gói truy cập 0 byte 0 drop
meta l4proto tcp meta nfproto ipv4 ip saddr @abused gói bộ đếm 0 byte 0 drop
ip Daddr 46.38.148.0-46.38.151.255 thả
iif "lo" log nhóm 2 chấp nhận
iif != "lo" ip daddr 127.0.0.0/8 gói truy cập 0 byte 0 drop comment "bỏ kết nối tới loopback không đến từ loopback"
iif != "lo" ip6 Daddr ::1 counter packets 0 bytes 0 drop comment "bỏ kết nối tới loopback không đến từ loopback"
Trạng thái ct được thiết lập, nhóm nhật ký liên quan 2 chấp nhận
trạng thái ct gói truy cập không hợp lệ 47 byte 2572 giảm
tcp dport { 25, 80, 143, 443, 587, 2772, 9980, 45907 } nhóm nhật ký 2 chấp nhận
giao thức ip icmp icmp type { echo-reply, đích-không thể truy cập, echo-request, router-advertisement, router-sotication, time-exceeded, parameter-problem } chấp nhận nhật ký nhóm 2
ip6 nexthdr ipv6-icmp icmpv6 type { không thể truy cập đích đến, gói quá lớn, vượt quá thời gian, vấn đề về tham số, yêu cầu tiếng vang, trả lời tiếng vang, nd-router-xin, nd-router-quảng cáo, nd-hàng xóm- gạ gẫm, nd-neighbor-advert, ind-neighbor-gợi ý, ind-neighbor-advert } nhật ký nhóm 2 chấp nhận
ip6 nexthdr nhóm nhật ký ipv6-icmp 2 chấp nhận
gói truy cập 2686 byte 421604 giảm
}
chuỗi IPSinput {
loại móc bộ lọc đầu vào bộ lọc ưu tiên + 10; giảm chính sách;
gói truy cập 88448 byte 15799025 số hàng đợi 0-3 bypass, fanout
}
chuỗi về phía trước {
loại bộ lọc móc chuyển tiếp bộ lọc ưu tiên; giảm chính sách;
}
đầu ra chuỗi {
loại móc bộ lọc đầu ra bộ lọc ưu tiên; chính sách chấp nhận;
}
đầu ra IPS chuỗi {
loại móc bộ lọc đầu ra bộ lọc ưu tiên + 10; giảm chính sách;
gói truy cập 76196 byte 201278628 số hàng đợi 0-3 bypass, fanout
}
}
Tường lửa nftables hoạt động tốt.
Tuy nhiên, (các) máy chủ nginx của tôi không thể truy cập được qua IPv6. Tôi đã sử dụng các công cụ kiểm tra IPv6 khác nhau (ví dụ: https://ipv6-test.com/validate.php) và cả chất lượng ssltest không thể truy cập máy chủ qua IPv6, tuy nhiên IPv4 vẫn hoạt động tốt.
tôi đã bao gồm nghe [::]:80;
(tương ứng nghe [::]:443;
trong mỗi máy chủ nginx của tôi. Và netstat -anlp |grep nginx
cho
tcp 0 0 0.0.0.0:80 0.0.0.0:* NGHE 48846/nginx: chủ
tcp 0 0 0.0.0.0:443 0.0.0.0:* NGHE 48846/nginx: chính
tcp 0 0 192.168.42.98:443 93.104.163.178:39001 ĐỘNG TỪ 48847/nginx: công nhân
tcp 0 0 192.168.42.98:443 93.104.163.178:39368 ĐỘNG TỪ 48847/nginx: worker
tcp 0 0 192.168.42.98:443 93.104.163.178:43086 ĐỘNG TỪ 48847/nginx: công nhân
tcp6 0 0 :::80 :::* NGHE 48846/nginx: master
tcp6 0 0 :::443 :::* NGHE 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160451 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160453 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160450 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160448 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160452 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160446 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160449 48846/nginx: master
Trên bộ định tuyến của tôi, tôi cũng đã kích hoạt IPv6.
Có ai có bất kỳ ý tưởng mà vấn đề có thể được?