Q&A前提・実現したいこと
iptables の見方についてご教示いただきたいです。
発生している問題・エラーメッセージ
3000番ポート番号が弾かれる（ssh以外すべて弾かれる）
ログ
Feb 25 07:03:15 NixOS3 kernel: refused connection: IN=br0 OUT= PHYSIN=ens33 MAC=1e:d9:28:79:25:45:00:a0:de:f1:d1:37:08:00 SRC=192.168.100.226 DST=192.168.2.117 LEN=52 TOS=0x00 PREC=0x00 TTL=126 ID=64772 DF PROTO=TCP SPT=64192 DPT=3000 WINDOW=64240 RES=0x00 SYN URGP=0
該当のソースコード
Chain INPUT (policy ACCEPT) target prot opt source destination nixos-fw all -- 0.0.0.0/0 0.0.0.0/0 Chain FORWARD (policy DROP) target prot opt source destination DOCKER-USER all -- 0.0.0.0/0 0.0.0.0/0 DOCKER-ISOLATION-STAGE-1 all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ctstate RELATED,ESTABLISHED DOCKER all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ctstate RELATED,ESTABLISHED DOCKER all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ctstate RELATED,ESTABLISHED DOCKER all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ctstate RELATED,ESTABLISHED DOCKER all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ctstate RELATED,ESTABLISHED DOCKER all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 Chain OUTPUT (policy ACCEPT) target prot opt source destination Chain DOCKER (5 references) target prot opt source destination Chain DOCKER-ISOLATION-STAGE-1 (1 references) target prot opt source destination DOCKER-ISOLATION-STAGE-2 all -- 0.0.0.0/0 0.0.0.0/0 DOCKER-ISOLATION-STAGE-2 all -- 0.0.0.0/0 0.0.0.0/0 DOCKER-ISOLATION-STAGE-2 all -- 0.0.0.0/0 0.0.0.0/0 DOCKER-ISOLATION-STAGE-2 all -- 0.0.0.0/0 0.0.0.0/0 RETURN all -- 0.0.0.0/0 0.0.0.0/0 Chain DOCKER-ISOLATION-STAGE-2 (4 references) target prot opt source destination DROP all -- 0.0.0.0/0 0.0.0.0/0 DROP all -- 0.0.0.0/0 0.0.0.0/0 DROP all -- 0.0.0.0/0 0.0.0.0/0 DROP all -- 0.0.0.0/0 0.0.0.0/0 RETURN all -- 0.0.0.0/0 0.0.0.0/0 Chain DOCKER-USER (1 references) target prot opt source destination RETURN all -- 0.0.0.0/0 0.0.0.0/0 Chain nixos-fw (1 references) target prot opt source destination nixos-fw-accept all -- 0.0.0.0/0 0.0.0.0/0 nixos-fw-accept all -- 0.0.0.0/0 0.0.0.0/0 ctstate RELATED,ESTABLISHED nixos-fw-accept tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22 nixos-fw-accept icmp -- 0.0.0.0/0 0.0.0.0/0 icmptype 8 nixos-fw-log-refuse all -- 0.0.0.0/0 0.0.0.0/0 Chain nixos-fw-accept (4 references) target prot opt source destination ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 Chain nixos-fw-log-refuse (1 references) target prot opt source destination LOG tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x02 LOG flags 0 level 6 prefix "refused connection: " nixos-fw-refuse all -- 0.0.0.0/0 0.0.0.0/0 PKTTYPE != unicast nixos-fw-refuse all -- 0.0.0.0/0 0.0.0.0/0 Chain nixos-fw-refuse (2 references) target prot opt source destination DROP all -- 0.0.0.0/0 0.0.0.0/0
自分の考え
まず、INPUTチェーンを見ると
nixos-fwというユーザー定義があるので、そちらを見に行く。
そうすると、
nixos-fw-acceptというユーザー定義があるので、そちらを見に行く。
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
この条件が１つあるため、すべての通信はブロックされることなく通されると思うのですが、実際は・・・
nixos-fw-log-refuseの LOG を通り、
nixos-fw-refuseのDROPで落とされております。
どうして nixos-fw-accept の
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
こちらを無視して、DROPされてしまうのか検討がつきません。
ご存知のかたいらっしゃいましたらご教示いただけませんでしょうか？
補足情報（FW/ツールのバージョンなど）
OS: NixOS
19.09.1977.1dadefec574 (Loris)
回答1件
0
自己解決
対象のiptablesがinterfaceのloに紐付いていたからでした。
おさわがせいたしました。
投稿2020/02/25 11:25
総合スコア388
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。