![为什么这 3 条规则会在 iptables 中给我带来问题?(COMMIT 行错误)](https://linux22.com/image/549779/%E4%B8%BA%E4%BB%80%E4%B9%88%E8%BF%99%203%20%E6%9D%A1%E8%A7%84%E5%88%99%E4%BC%9A%E5%9C%A8%20iptables%20%E4%B8%AD%E7%BB%99%E6%88%91%E5%B8%A6%E6%9D%A5%E9%97%AE%E9%A2%98%EF%BC%9F%EF%BC%88COMMIT%20%E8%A1%8C%E9%94%99%E8%AF%AF%EF%BC%89.png)
我试图将规则从一台服务器导出到另一台服务器,但由于某种原因,它们在一台服务器上失败了。一台服务器是 Xen,另一台是 OpenVZ(这台服务器是导致问题的那台)。它们都运行 Ubuntu(尽管版本不同,分别是 8.04 和 10.10),并且还运行不同版本的 iptables(分别是 1.3.8 和 1.4.4)。
我成功导出了规则,但运行规则时,在 COMMIT 行出现错误。因此,我逐行注释掉规则中的每一行,发现以下三行是罪魁祸首:
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p tcp -m state --state NEW --dport 23 -j ACCEPT
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
这些行有什么问题?它们对我来说看起来不错,并且在我的 Xen 服务器上运行良好...
这是原始规则文件的内容:
*filter
# Allows all loopback (lo0) traffic and drop all traffic to 127/8 that doesn't use lo0
-A INPUT -i lo -j ACCEPT
-A INPUT ! -i lo -d 127.0.0.0/8 -j REJECT
# Accepts all established inbound connections
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# Allows all outbound traffic
# You can modify this to only allow certain traffic
-A OUTPUT -j ACCEPT
# Allows HTTP and HTTPS connections from anywhere (the normal ports for websites)
-A INPUT -p tcp --dport 80 -j ACCEPT
-A INPUT -p tcp --dport 443 -j ACCEPT
# Allows Tomcat, sms, and newrelic
-A INPUT -p tcp --dport 8080 -j ACCEPT
#-A INPUT -p tcp --dport 8009 -j ACCEPT
# Allows SSH connections
#
# THE -dport NUMBER IS THE SAME ONE YOU SET UP IN THE SSHD_CONFIG FILE
#
-A INPUT -p tcp -m state --state NEW --dport 23 -j ACCEPT
# Allow ping
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
# log iptables denied calls
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
# Reject all other inbound - default deny unless explicitly allowed policy
-A INPUT -j REJECT
-A FORWARD -j REJECT
COMMIT
更新:
好的,因此看起来这三个规则之间唯一的共同点是选项“-m”,所有有效的规则都没有该选项...这是怎么回事?
答案1
这些错误可能与您需要加载相关内核模块才能执行某些选项有关。根据发行版的不同,其中一些是默认加载的,而其他一些则可能会在使用某些选项时自动加载。看来,在您的情况下,您可能需要使用 modprobe 手动加载一些。
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
为了使用状态条件,您需要加载 ip_conntrack 模块。
-A INPUT -p tcp -m state --state NEW --dport 23 -j ACCEPT
同样的问题
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
不确定为什么这个问题会引起。
我建议仔细阅读该特定发行版上的 iptables 手册页,然后检查已加载哪些内核模块,并可能在批处理文件顶部添加一些行以加载所需的内核模块。
这是我们的一个公共网关的相关输出,它使用了类似的 iptables 规则。
#> lsmod | grep ip
iptable_mangle 11392 0
ipt_recent 16672 2
ipt_LOG 13828 4
iptable_nat 13840 0
nf_nat 25496 2 nf_nat_ftp,iptable_nat
ipv6 287784 65 sit
dm_multipath 23704 0
答案2
复制/粘贴不是合适的方式
你应该使用
iptables-save > somefilename.rules
到导出规则采用符合 iptables-restore 要求的格式
进而
iptables-restore < somefilename.rules
继续恢复
另请参阅制作的非常好的教程iptables 规则持久化