Tôi có một máy ảo Ubuntu hoạt động như một máy ngang hàng WireGuard. Mạng của tôi chỉ có cổng WireGuard được chuyển tiếp tới máy ảo của tôi (51820 đến 192.168.1.2).Tôi nghĩ rằng iptables của tôi (bên dưới) được thiết lập để chỉ cho phép (1) SSH từ các kết nối mạng LAN của tôi (2) đến cổng WireGuard của tôi (3) SSH từ lưu lượng truy cập được thiết lập/liên quan đến WG ngang hàng của tôi (4) và (5) lưu lượng truy cập vòng lặp.
Tuy nhiên, dường như tôi vẫn bỏ các kết nối đến với các cổng không phải của WireGuard, như vậy:
Ngày 14 tháng 2 03:42:08 kernel wireguard: [672816.748776] DROPPED IN=ens3 OUT= MAC=b0:a4:66:b9:e6:0b:1b:73:02:d8:fa:6f:08:00 SRC= 90.114.208.130 DST=192.168.1.2 LEN=40 TOS=0x00 PREC=0x00 TTL=50 ID=44010 DF PROTO=TCP SPT=443 DPT=34548 WINDOW=0 RES=0x00 RST URGP=0
MAC và SRC được chọn ngẫu nhiên; tuy nhiên, phần đầu tiên của MAC là địa chỉ MAC giao diện ens3 của VM của tôi. Phần thứ hai gần với MAC của bộ định tuyến của tôi (ký tự cuối cùng khác).
Câu hỏi: Làm thế nào thậm chí có thể có một yêu cầu kết nối đến các cổng khác với 51820 khi bộ định tuyến của tôi chỉ có một cổng được mở và chuyển tiếp? Bộ định tuyến sẽ không bỏ các gói đó vì các cổng (ví dụ: 34548) không mở?
iptables (để tham khảo):
Chuỗi INPUT (chính sách DROP 310 gói, 24890 byte)
num pkts byte target prot opt in out đích nguồn
1 3155 218K CHẤP NHẬN tcp -- ens3 * 192.168.1.0/24 0.0.0.0/0 tcp dpt:22 trạng thái MỚI, ĐÃ THÀNH LẬP
2 0 0 CHẤP NHẬN udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:51820
3 0 0 CHẤP NHẬN tcp -- wg0 * 10.6.0.2 0.0.0.0/0 tcp dpt:22 trạng thái MỚI, ĐÃ THÀNH LẬP
4 175K 398M CHẤP NHẬN tất cả -- * * 0.0.0.0/0 0.0.0.0/0 ctstate LIÊN QUAN, THÀNH LẬP
5 266 19635 CHẤP NHẬN tất cả -- lo * 0.0.0.0/0 0.0.0.0/0
6 310 24890 LOG tất cả -- * * 0.0.0.0/0 0.0.0.0/0 LOG cờ 0 tiền tố mức 4 "DROPPED "
Chuỗi FORWARD (chính sách DROP 0 gói, 0 byte)
num pkts byte target prot opt in out đích nguồn
1 0 0 WG_wg0 tất cả -- * * 0.0.0.0/0 0.0.0.0/0
ĐẦU RA chuỗi (chính sách CHẤP NHẬN gói 23M, byte 32G)
num pkts byte target prot opt in out đích nguồn
Chuỗi WG_wg0 (1 tài liệu tham khảo)
num pkts byte target prot opt in out đích nguồn
1 0 0 CHẤP NHẬN tất cả -- * wg0 0.0.0.0/0 0.0.0.0/0 ctstate LIÊN QUAN, ĐÃ THÀNH LẬP
2 0 0 CHẤP NHẬN tất cả -- wg0 * 10.6.0.2 0.0.0.0/0
3 0 0 THẢ tất cả -- wg0 * 0.0.0.0/0 0.0.0.0/0
4 0 0 TRẢ LẠI tất cả -- * * 0.0.0.0/0 0.0.0.0/0
