ufwを適用するためにiptablesを初期化したらaptが接続できなくなった

Question

先日さくらのVPSをレンタルし，Ubuntu Server 16.04 LTSをインストールしました．

Ubuntuにはiptablesをシンプルにしたufwというものがあるようなので，これを使ってファイヤウォールの設定を行おうと思っていました．

例えば，仮にsshのポートを2222とすると，

sudo ufw enable
sudo ufw default DENY
sudo ufw allow 2222
sudo ufw allow 80
sudo ufw allow 443
sudo ufw reload

のように設定しようと考えていました．
しかし，実際にこの設定でSSH接続を試みたところ，2222ポートは開かず，逆に22番ポートは開いたままになっていました．

調べてみると，どうもufwのルールは，さくらがデフォルトで設定しているiptablesの設定が一通り終わってから適用されるようです．つまり，

sudo iptables -L

>>>
Chain INPUT (policy DROP)
... (さくら側で行われた初期設定)
Chain FORWARD (policy DROP)
... (さくら側で行われた初期設定)
Chain OUTPUT (policy ACCEPT)
... (さくら側で行われた初期設定)
Chain f2b-sshd (1 references)
... (さくら側で行われた初期設定)
Chain ufw-after-forward (1 references)
... (ufwによるユーザー設定)
...

となっていました．そこで私は，

sudo iptables -F
sudo ufw reload

とすることで，この問題に対処しました．

ところが，この方法の場合，sudo apt update等ができなくなってしまうようです．
apt，またはもう少し一般的に言えばpip, gem, npm等，こちらからデータの取得を要求する場合だけ通信を許可する方法はあるのでしょうか？

よろしくお願いします．

Answer 1

Chain INPUT (policy DROP)
... (さくら側で行われた初期設定)
Chain FORWARD (policy DROP)
... (さくら側で行われた初期設定)
Chain OUTPUT (policy ACCEPT)
... (さくら側で行われた初期設定)

検討違いかもしれませんが、この状態で sudo iptables -F を実行すると、 ルールだけクリアされて、INPUTとFORWARDはポリシーがDROPのまま(=全て拒否される)になってるとかではないでしょうか？

参考

http://www.in-vitro.jp/blog/index.cgi/Linux/20090427_01.htm

Comments

[MasatakaMiyoshi]

そうみたいです…ありがとうございます！
INPUTチェインを見直し，原因となる箇所だけを削除しようと試みていたところ，ufwの実行前に挟まれたREJECTが原因だったことが判明しました．

```
Chain INPUT (policy DROP)
target prot opt source destination
f2b-sshd tcp -- anywhere anywhere multiport dports 2222
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT icmp -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ssh
REJECT all -- anywhere anywhere reject-with icmp-host-prohibited
ufw-before-logging-input all -- anywhere anywhere
ufw-before-input all -- anywhere anywhere
ufw-after-input all -- anywhere anywhere
ufw-after-logging-input all -- anywhere anywhere
ufw-reject-input all -- anywhere anywhere
ufw-track-input all -- anywhere anywhere
```

結局，さくらのVPSのUbuntuのデフォルト設定でufwが使い物にならないのは，このREJECT部分が原因だったようです．この箇所を

```
sudo iptables -D INPUT 6
```

で消したところ，既存の設定を壊すことなく動きました．