多播流量能够在 netfilter 连接跟踪系统中戳出一个漏洞

Question

使用类似的设置后pimd，我只能得出这样的结论：

filter/FORWARD只要为此流启用了多播路由，就会转发普通（数据）多播数据包。 conntrack 条目udp 17 29 src=10.4.4.5 dst=239.3.5.3 sport=10 dport=10 [UNREPLIED] src=239.3.5.3 dst=10.4.4.5 sport=10 dport=10 mark=0 use=1就是这样一个转发流，并且还会将nat/PREROUTING和nat/POSTROUTING计数器递增（仅）1：触发此 contrack 条目的新数据包。
链路本地多播数据包（发送至 224.0.0.{1,22} 的 IGMP 数据包和发送至 224.0.0.13 的 PIMv2）由停止filter/INPUT。
如果该流之前已启用，则组播路由器将激活该特定组播目的地的转发一段时间。一旦发生配置的超时，由于防火墙的原因，它没有从 LAN 收到任何 IGMP 报告或从 WAN 收到 PIMv2，它将认为不再有客户端侦听或不再有有效流，并将停止转发相应的组播流。

最后，您应该允许 linux 路由器接收：

来自 LAN 的 IGMP 数据包，使路由器能够了解哪些多播客户端正在侦听：
```
iptables -A INPUT -i br0 -p igmp -j ACCEPT
```
我的具体设置是使用pimdPIMv2，我不知道是否始终使用该协议，但当源 IP 不只是 192.0.0.1 时，我必须允许 PIM 协议在保持 DROP 策略的同时工作。 2.1（但 10.4.4.5）：
```
iptables -A INPUT -s 192.0.2.1 -i eth0 -p pim -j ACCEPT
```
可能需要允许来自 ISP 路由器的 IGMP 数据包，但我的特定设置不需要它们：
```
iptables -A INPUT -s 192.0.2.1 -i eth0 -p igmp -j ACCEPT
```

更新：

请注意，filter/INPUT链的 DROP 策略仍会显示命中：Linux 路由器自己的 IGMP 和 PIMv2 数据包（多播）在发送到外部时会环回到本地系统，因此会被（无害地）丢弃，因为上述规则未启用。添加相应的规则后，我遇到了 PIMv2 的奇怪行为，最后我不得不标记数据包filter/OUTPUT以允许它们在filter/INPUT.同时我也限制了 na 规则。最终，通过以下规则，filter/INPUT在转发组播流量时，的 DROP 策略计数器始终保持在 [0:0]：

# Generated by iptables-save v1.6.2 on Mon Aug 27 01:01:48 2018
*nat
:PREROUTING ACCEPT [1:56]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [1:56]
[0:0] -A POSTROUTING -s 192.168.0.0/24 -o eth0 -m comment --comment SNAT -j MASQUERADE
COMMIT
# Completed on Mon Aug 27 01:01:48 2018
# Generated by iptables-save v1.6.2 on Mon Aug 27 01:01:48 2018
*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [1533311:325676232]
:OUTPUT ACCEPT [75:3724]
[0:0] -A INPUT -i lo -j ACCEPT
[1:56] -A INPUT -i eth0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
[40:1800] -A INPUT -i br0 -p igmp -j ACCEPT
[14:774] -A INPUT -s 192.0.2.1/32 -i eth0 -p pim -j ACCEPT
[28:1288] -A INPUT -s 192.0.2.1/32 -i eth0 -p igmp -j ACCEPT
[17:932] -A INPUT -s 192.0.2.79/32 -i eth0 -p igmp -j ACCEPT
[28:1392] -A INPUT -m mark --mark 0x1 -j ACCEPT
[28:1392] -A OUTPUT -p pim -j MARK --set-xmark 0x1/0xffffffff
COMMIT
# Completed on Mon Aug 27 01:01:48 2018

您可以模拟多播客户端并转储到标准输出socat（如果有多个接口，请指定本地IP）：

socat -u UDP4-RECV:10,ip-add-membership=239.3.5.3:0.0.0.0 -

Answer 1

使用类似的设置后pimd，我只能得出这样的结论：

filter/FORWARD只要为此流启用了多播路由，就会转发普通（数据）多播数据包。 conntrack 条目udp 17 29 src=10.4.4.5 dst=239.3.5.3 sport=10 dport=10 [UNREPLIED] src=239.3.5.3 dst=10.4.4.5 sport=10 dport=10 mark=0 use=1就是这样一个转发流，并且还会将nat/PREROUTING和nat/POSTROUTING计数器递增（仅）1：触发此 contrack 条目的新数据包。
链路本地多播数据包（发送至 224.0.0.{1,22} 的 IGMP 数据包和发送至 224.0.0.13 的 PIMv2）由停止filter/INPUT。
如果该流之前已启用，则组播路由器将激活该特定组播目的地的转发一段时间。一旦发生配置的超时，由于防火墙的原因，它没有从 LAN 收到任何 IGMP 报告或从 WAN 收到 PIMv2，它将认为不再有客户端侦听或不再有有效流，并将停止转发相应的组播流。

最后，您应该允许 linux 路由器接收：

来自 LAN 的 IGMP 数据包，使路由器能够了解哪些多播客户端正在侦听：
```
iptables -A INPUT -i br0 -p igmp -j ACCEPT
```
我的具体设置是使用pimdPIMv2，我不知道是否始终使用该协议，但当源 IP 不只是 192.0.0.1 时，我必须允许 PIM 协议在保持 DROP 策略的同时工作。 2.1（但 10.4.4.5）：
```
iptables -A INPUT -s 192.0.2.1 -i eth0 -p pim -j ACCEPT
```
可能需要允许来自 ISP 路由器的 IGMP 数据包，但我的特定设置不需要它们：
```
iptables -A INPUT -s 192.0.2.1 -i eth0 -p igmp -j ACCEPT
```

更新：

请注意，filter/INPUT链的 DROP 策略仍会显示命中：Linux 路由器自己的 IGMP 和 PIMv2 数据包（多播）在发送到外部时会环回到本地系统，因此会被（无害地）丢弃，因为上述规则未启用。添加相应的规则后，我遇到了 PIMv2 的奇怪行为，最后我不得不标记数据包filter/OUTPUT以允许它们在filter/INPUT.同时我也限制了 na 规则。最终，通过以下规则，filter/INPUT在转发组播流量时，的 DROP 策略计数器始终保持在 [0:0]：

# Generated by iptables-save v1.6.2 on Mon Aug 27 01:01:48 2018
*nat
:PREROUTING ACCEPT [1:56]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [1:56]
[0:0] -A POSTROUTING -s 192.168.0.0/24 -o eth0 -m comment --comment SNAT -j MASQUERADE
COMMIT
# Completed on Mon Aug 27 01:01:48 2018
# Generated by iptables-save v1.6.2 on Mon Aug 27 01:01:48 2018
*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [1533311:325676232]
:OUTPUT ACCEPT [75:3724]
[0:0] -A INPUT -i lo -j ACCEPT
[1:56] -A INPUT -i eth0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
[40:1800] -A INPUT -i br0 -p igmp -j ACCEPT
[14:774] -A INPUT -s 192.0.2.1/32 -i eth0 -p pim -j ACCEPT
[28:1288] -A INPUT -s 192.0.2.1/32 -i eth0 -p igmp -j ACCEPT
[17:932] -A INPUT -s 192.0.2.79/32 -i eth0 -p igmp -j ACCEPT
[28:1392] -A INPUT -m mark --mark 0x1 -j ACCEPT
[28:1392] -A OUTPUT -p pim -j MARK --set-xmark 0x1/0xffffffff
COMMIT
# Completed on Mon Aug 27 01:01:48 2018

您可以模拟多播客户端并转储到标准输出socat（如果有多个接口，请指定本地IP）：

socat -u UDP4-RECV:10,ip-add-membership=239.3.5.3:0.0.0.0 -

多播流量能够在 netfilter 连接跟踪系统中戳出一个漏洞

答案1

相关内容