☰

为什么这 3 条规则会在 iptables 中给我带来问题？（COMMIT 行错误）

tag-icon • tag-icon ubuntu iptables ubuntu-10.10 ubuntu-8.04
为什么这 3 条规则会在 iptables 中给我带来问题？（COMMIT 行错误）

我试图将规则从一台服务器导出到另一台服务器，但由于某种原因，它们在一台服务器上失败了。一台服务器是 Xen，另一台是 OpenVZ（这台服务器是导致问题的那台）。它们都运行 Ubuntu（尽管版本不同，分别是 8.04 和 10.10），并且还运行不同版本的 iptables（分别是 1.3.8 和 1.4.4）。

我成功导出了规则，但运行规则时，在 COMMIT 行出现错误。因此，我逐行注释掉规则中的每一行，发现以下三行是罪魁祸首：

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p tcp -m state --state NEW --dport 23 -j ACCEPT
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7

这些行有什么问题？它们对我来说看起来不错，并且在我的 Xen 服务器上运行良好...

这是原始规则文件的内容：

*filter


#  Allows all loopback (lo0) traffic and drop all traffic to 127/8 that doesn't use lo0
-A INPUT -i lo -j ACCEPT
-A INPUT ! -i lo -d 127.0.0.0/8 -j REJECT


#  Accepts all established inbound connections
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT


#  Allows all outbound traffic
#  You can modify this to only allow certain traffic
-A OUTPUT -j ACCEPT


# Allows HTTP and HTTPS connections from anywhere (the normal ports for websites)
-A INPUT -p tcp --dport 80 -j ACCEPT
-A INPUT -p tcp --dport 443 -j ACCEPT


# Allows Tomcat, sms, and newrelic
-A INPUT -p tcp --dport 8080 -j ACCEPT
#-A INPUT -p tcp --dport 8009 -j ACCEPT


#  Allows SSH connections
#
# THE -dport NUMBER IS THE SAME ONE YOU SET UP IN THE SSHD_CONFIG FILE
#
-A INPUT -p tcp -m state --state NEW --dport 23 -j ACCEPT


# Allow ping
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT


# log iptables denied calls
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7


# Reject all other inbound - default deny unless explicitly allowed policy
-A INPUT -j REJECT
-A FORWARD -j REJECT

COMMIT

更新：

好的，因此看起来这三个规则之间唯一的共同点是选项“-m”，所有有效的规则都没有该选项...这是怎么回事？

答案1

这些错误可能与您需要加载相关内核模块才能执行某些选项有关。根据发行版的不同，其中一些是默认加载的，而其他一些则可能会在使用某些选项时自动加载。看来，在您的情况下，您可能需要使用 modprobe 手动加载一些。

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

为了使用状态条件，您需要加载 ip_conntrack 模块。

-A INPUT -p tcp -m state --state NEW --dport 23 -j ACCEPT

同样的问题

-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7

不确定为什么这个问题会引起。

我建议仔细阅读该特定发行版上的 iptables 手册页，然后检查已加载哪些内核模块，并可能在批处理文件顶部添加一些行以加载所需的内核模块。

这是我们的一个公共网关的相关输出，它使用了类似的 iptables 规则。

#> lsmod | grep ip
iptable_mangle         11392  0 
ipt_recent             16672  2 
ipt_LOG                13828  4 
iptable_nat            13840  0 
nf_nat                 25496  2 nf_nat_ftp,iptable_nat
ipv6                  287784  65 sit
dm_multipath           23704  0

答案2

复制/粘贴不是合适的方式

你应该使用

iptables-save > somefilename.rules

到导出规则采用符合 iptables-restore 要求的格式

进而

iptables-restore < somefilename.rules

继续恢复

另请参阅制作的非常好的教程iptables 规则持久化

相关内容