FGHIGate на GaNJa NeTWoRK ST@Ti0N - Просмотр сообщения в эхоконференции RU.LINUX
Присутствуют сообщения из эхоконференции RU.LINUX с датами от 24 Jan 02 06:01:34 до 29 Apr 24 03:15:24, всего сообщений: 8279
= Сообщение: 5700 из 8279 ========================================= RU.LINUX =
От : Michael Dukelsky 2:5020/1042 09 Apr 19 17:50:32
Кому : All 09 Apr 19 17:50:32
Тема : iptables
FGHI : area://RU.LINUX?msgid=2:5020/1042+5cacb876
= Кодировка сообщения определена как: CP866 ==================================
Ответ: area://RU.LINUX?msgid=2:5059/37@FidoNet+5cadec03
Ответ: area://RU.LINUX?msgid=2:5020/9696.128+5cae2d2a
==============================================================================
Привет, All!
В iptables есть ветка forward_int. В частности, в этой ветке есть строчки
-A forward_int -p tcp -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A forward_int -p udp -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
...
-A forward_int -s x.x.x.x/nn -o br0 -p tcp -m tcp --dport 443 -m conntrack --ctstate NEW -j ACCEPT
-A forward_int -s x.x.x.x/nn -o br0 -p udp -m udp --dport 443 -m conntrack --ctstate NEW -j ACCEPT
...
-A forward_int -j LOG --log-prefix "FWD-INT-ILL-ROUTING " --log-tcp-options --log-ip-options --log-uid
-A forward_int -j reject_func
...
-A reject_func -p tcp -j REJECT --reject-with tcp-reset
-A reject_func -p udp -j REJECT --reject-with icmp-port-unreachable
-A reject_func -j REJECT --reject-with icmp-proto-unreachable
При этом в /var/log/messages присутствуют строчки типа
FWD-INT-ILL-ROUTING IN=br1 OUT=br0 MAC=... SRC=y.y.y.y DST=z.z.z.z LEN=40 TOS=0x00 PREC=0x00 TTL=127 ID=15984 DF PROTO=TCP SPT=56085 DPT=443 WINDOW=258 RES=0x00 ACK FIN URGP=0
FWD-INT-ILL-ROUTING IN=br1 OUT=br0 MAC=... SRC=y.y.y.y DST=z.z.z.z LEN=40 TOS=0x00 PREC=0x00 TTL=127 ID=16024 DF PROTO=TCP SPT=56085 DPT=443 WINDOW=0 RES=0x00 ACK RST URGP=0
FWD-INT-ILL-ROUTING IN=br1 OUT=br0 MAC=... SRC=y.y.y.y DST=z.z.z.z LEN=1378 TOS=0x00 PREC=0x00 TTL=62 ID=18022 DF PROTO=UDP SPT=35971 DPT=443 LEN=1358
При этом адреса SRC=y.y.y.y лежат в диапазоне x.x.x.x/nn, указанном в iptables.
Что это значит? Почему пакеты просачиваются через фильтр?
Желаю успехов, All!
За сим откланиваюсь, Michael.
... node (at) f1042 (dot) ru
--- GoldED+/LNX 1.1.5-b20170303
* Origin: ==<<.f1042.ru.>>== (2:5020/1042)
|
К главной странице гейта
| 
