Проблема с iptables в centos, как добавить правило для accept установленных соединений?

Question

[Александр Мелихов]

При попытки добавить следующее правило для iptables

iptables -I INPUT 1 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

вылезает ошибка
iptables: No chain/target/match by that name.
Весь гугл перерыл уже. Пишут, что может модуль conntrack не загружен. Проверил командой
iptables -m conntrack -h
показывает хелп по этому модулю.
Вывод hostnamectl

Icon name: computer-container
           Chassis: container
        Machine ID: ad17ba5152474b2eb017170797500ff5
           Boot ID: 9709c42609a24e8daccb6e91e76c41d5
    Virtualization: openvz
  Operating System: CentOS Linux 7 (Core)
       CPE OS Name: cpe:/o:centos:centos:7
            Kernel: Linux 2.6.32-042stab120.11
      Architecture: x86-64

С чем может быть связана эта ошибка?

Answer 1

[Wexter]

У вас виртуалка на OpenVZ, она не даёт работать с этим модулем
https://askubuntu.com/questions/689927/enabling-co...

Comments

[Александр Мелихов]

были подозрения на этот счет. а вообще как без этого правила

iptables -I INPUT 1 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

жить? Попробовал следующие правила для iptables

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [10272:124029754]
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -j DROP
COMMIT
# Completed on Mon Jul 10 17:00:15 2017

Не смог зайти по ссш. Слава богу было активное соединение.

[Александр Мелихов]

Wexter а хотя не. Заходить без этого правила. Спасибо)

[Wexter]

Александр Мелихов, начнём с того что нет смысла делать -j DROP для всех, делайте -j DROP для внешнего интерфейса, соответственно и ACCEPT тоже прописывайте для внешнего.
вместо conntrack можно использовать

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

откуда и куда не можете подключиться по ssh?

[Александр Мелихов]

Wexter,

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

пробовал. та же самая ошибка была. теперь все хорошо)