为什么我的网络连接被拒绝？

Question 1

好吧，我想通了。这真是太棒了。

CentOS 8 使用nftables，这本身并不奇怪。它附带命令nft的版本iptables，这意味着当您使用该iptables命令时，它实际上在 nftables 中维护一组兼容性表。

然而...

默认情况下安装的 Firewalld 有本国的支持 nftables，因此它不使用 iptables 兼容层。

所以 whileiptables -S INPUT向您展示：

# iptables -S INPUT
-P INPUT ACCEPT

你什么实际上有是：

        chain filter_INPUT {
                type filter hook input priority 10; policy accept;
                ct state established,related accept
                iifname "lo" accept
                jump filter_INPUT_ZONES_SOURCE
                jump filter_INPUT_ZONES
                ct state invalid drop
                reject with icmpx type admin-prohibited  <-- HEY LOOK AT THAT!
        }

这里的解决方案（老实说，一般来说可能是个好建议）是：

systemctl disable --now firewalld

关闭firewalld后，可见的iptables规则iptables -S将按预期运行。

Answer

好吧，我想通了。这真是太棒了。

CentOS 8 使用nftables，这本身并不奇怪。它附带命令nft的版本iptables，这意味着当您使用该iptables命令时，它实际上在 nftables 中维护一组兼容性表。

然而...

默认情况下安装的 Firewalld 有本国的支持 nftables，因此它不使用 iptables 兼容层。

所以 whileiptables -S INPUT向您展示：

# iptables -S INPUT
-P INPUT ACCEPT

你什么实际上有是：

        chain filter_INPUT {
                type filter hook input priority 10; policy accept;
                ct state established,related accept
                iifname "lo" accept
                jump filter_INPUT_ZONES_SOURCE
                jump filter_INPUT_ZONES
                ct state invalid drop
                reject with icmpx type admin-prohibited  <-- HEY LOOK AT THAT!
        }

这里的解决方案（老实说，一般来说可能是个好建议）是：

systemctl disable --now firewalld

关闭firewalld后，可见的iptables规则iptables -S将按预期运行。

Question 2

如果您不想禁用firewalld，那么解决方案是在虚拟机管理程序主机上添加下面提到的nftables 规则。

如果您还没有使用其他特定区域，请首先将 docker0 添加到内部区域：

firewall-cmd --zone=internal --change-interface=docker0 --permanent
firewall-cmd --reload

运行 nftables 以应用规则以接受 80 端口到 virbr0 接口的 tcp 流量，目标为 192.168.122.217：

/sbin/nft 添加规则 inet firewalld filter_FWDI_internal_allow oifname "virbr0" ip baddr 192.168.122.217 tcp dport 80 counter 接受评论“评论某事”

还需要添加 iptables 规则（或将其转换为 nftables 以保持一致性，请参见下文）：

/usr/sbin/iptables -t filter -I FORWARD -p tcp -o virbr0 -d 192.168.122.217 --dport 80 -j ACCEPT -m comment --comment "comment something"

您可以使用 shell 脚本包装这两条规则，并添加 systemd 服务单元，并将延迟设置为 5 秒。让它在启动时自动运行。

此外，还可以将 iptables 规则转换为 nftables 并将它们都保存到 nftables 规则集中。但是，一旦您运行转换后的 iptables 规则，那么 iptables 将被锁定，并且对 iptables 的任何新更改都只能使用 firewalld 和 nftables 来完成。

另外需要有一个定制的内核可调参数，使穿过网桥的数据包不经过 iptables。Net.bridge.bridge-nf-call 和 sysctl.conf

sysctl net.bridge.bridge-nf-call-iptables=0
sysctl net.bridge.bridge-nf-call-arptables=0
sysctl net.bridge.bridge-nf-call-ip6tables=0

请注意，如果您将其添加到 sysctl.conf 中，它可能不会在重新启动期间自动应用，因为这是一个已知错误（取决于您的 Linux 发行版）。

Answer