☰

桌面版 Ubuntu-20.04.3 iptables 问题

tag-icon • tag-icon iptables snort
桌面版 Ubuntu-20.04.3 iptables 问题

我想测试一些 iptables 规则，该规则是拒绝除 DNS 之外的所有出站流量。
因此我使用此命令将过滤表的 OUTPUT 默认规则更改为 DROP。

sudo iptables -t filter -P OUTPUT DROP

然后我附加此规则以接受 DNS 流量。

sudo iptables -t filter -A OUTPUT -p udp --dport 53 -o ens33 -j ACCEPT

我运行此命令来测试该策略。

nslookup google.com

在运行此命令之前，我在我的虚拟机和主机上运行了 wireshark。
然后 nslookup 命令花了一些时间并给了我此消息。

连接超时；无法访问服务器

并且 wireshark（在虚拟机和主机上）没有捕获任何数据包。

所以我删除了此规则并添加了另一条。

sudo iptables -t filter -A OUTPUT -p udp --dport 53 -j ACCEPT

并做了与以前同样的事情。
相同的消息再次出现，但 wireshark（在 vm 和主机上）捕获了数据包（请求和响应）。

然后我删除了这条规则并添加了下一条规则。

sudo iptables -t filter -A OUTPUT -p udp -j ACCEPT

并执行与之前相同的操作。
这一次 nslookup 命令返回结果并且 wireshark 捕获数据包。

那么为什么会发生这种情况呢？

在这些测试之前，我安装了 snort（在不同的虚拟机上），并尝试丢弃一些数据包，但没有成功。
数据包被记录下来但没有被丢弃。
我不知道这些情况是否相关。

答案1

你的问题确实很好。没有错误消息，使用各种 iptables 查询工具看起来一切都正确。

但是，您需要允许流量往返于本地环回接口 lo。因此，您需要另一个规则。顺便说一句，您不需要该-t filter部分。因此，针对我的测试计算机网络接口进行了修改，我使用 tcpdump 而不是 wireshark，并且我有两个实例在运行，一个在 lo 上，一个在我的 NIC 上：

sudo iptables -A OUTPUT -o lo -j ACCEPT
sudo iptables -A OUTPUT -p udp --dport 53 -o br0 -j ACCEPT
sudo iptables -P OUTPUT DROP
nslookup google.com
Server:         127.0.0.53     <<<<<<< NOTE:
Address:        127.0.0.53#53

Non-authoritative answer:
Name:   google.com
Address: 142.251.33.78
Name:   google.com
Address: 2607:f8b0:400a:806::200e

和：

doug@s19:~/iptables/tmp$ cat c06.txt
2021-11-21 09:41:07.851723 IP 192.168.111.136.37847 > 192.168.111.1.53: 52661+ [1au] A? google.com. (39)
2021-11-21 09:41:07.879409 IP 192.168.111.1.53 > 192.168.111.136.37847: 52661 1/0/1 A 142.251.33.78 (55)
2021-11-21 09:41:07.884300 IP 192.168.111.136.52279 > 192.168.111.1.53: 58740+ [1au] AAAA? google.com. (39)
2021-11-21 09:41:07.899157 IP 192.168.111.1.53 > 192.168.111.136.52279: 58740 1/0/1 AAAA 2607:f8b0:400a:806::200e (67)

和：

doug@s19:~/iptables/tmp$ cat l01.txt
2021-11-21 09:41:07.850815 IP 127.0.0.1.51470 > 127.0.0.1.51470: UDP, length 1
2021-11-21 09:41:07.851625 IP 127.0.0.1.46738 > 127.0.0.53.53: 31736+ A? google.com. (28)
2021-11-21 09:41:07.879486 IP 127.0.0.53.53 > 127.0.0.1.46738: 31736 1/0/0 A 142.251.33.78 (44)
2021-11-21 09:41:07.884223 IP 127.0.0.1.35841 > 127.0.0.53.53: 58878+ AAAA? google.com. (28)
2021-11-21 09:41:07.899259 IP 127.0.0.53.53 > 127.0.0.1.35841: 58878 1/0/0 AAAA 2607:f8b0:400a:806::200e (56)

那么为什么服务器看起来是本地的？默认情况下，Ubuntu 运行本地解析器来缓冲 DNS 记录等：

doug@s19:~$ sudo ss -tulpn | grep ":53"
Netid  State  Recv-Q  Send-Q         Local Address:Port  Peer Address:Port                         Process
udp    UNCONN  0       0              127.0.0.53%lo:53            0.0.0.0:*      users:(("systemd-resolve",pid=834,fd=12))
tcp    LISTEN  0       4096           127.0.0.53%lo:53            0.0.0.0:*      users:(("systemd-resolve",pid=834,fd=13))

另请参见sudo systemctl status systemd-resolved和相关手册页。

相关内容