Почему iptables пропускает пакеты даже если стоит политика DROP для всех IPv6 соединений?

Question

[kizijo]

У меня есть следующие правила ip6tables:

root@admin:~# cat /etc/iptables/rules.v6
*filter
:INPUT DROP [10954:4558559]
:FORWARD DROP [0:0]
:OUTPUT DROP [42631:2058968]
COMMIT
*nat
:PREROUTING ACCEPT [10945:4557911]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [365:29228]
:POSTROUTING ACCEPT [0:0]
COMMIT

Они блокируют (по идее) INPUT, FORWARD, OUTPUT трафик, т.е. любые соединения.

Но если я напишу ip6tables -nvL я увижу следующее:

root@admin:~# ip6tables -nvL
Chain INPUT (policy DROP 138K packets, 53M bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy DROP 240K packets, 12M bytes)
 pkts bytes target     prot opt in     out     source               destination

Почему даже если я блокирую весь ipv6 трафик пакеты все равно проходят?

P.S. Если вдруг это на что-то влияет, то вот мои ipv4 правила:

root@admin:~# cat /etc/iptables/rules.v4
*filter
:INPUT ACCEPT [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -d 95.145.23.33/32 -j ACCEPT
-A OUTPUT -o tun0 -j ACCEPT
COMMIT
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
COMMIT

iptables 1.6.0, Debian 9

Answer 1

[Андрей Буров]

Кто сказал что проходят?

Chain INPUT (policy DROP 138K packets, 53M bytes)

Отброшено 138k пактов, в сумме на 53M

Comments

[kizijo]

Ну да, и правда. Спасибо :)

А понять какое приложение шлет эти пакеты как можно?

[Руслан Федосеев]

Это INPUT. Вход. Вы хотите понять, какое приложение на компе-источнике шлет пакеты?
Ну включите логирование. Поменяйте политику по умолчанию на ACCEPT, и добавьте единственное правило
-A INPUT -j DROP -j LOG

Answer 2

[jcmvbkbc]

Почему даже если я блокирую весь ipv6 трафик пакеты все равно проходят?

А где в выводе ip6tables -nvL видно, что пакеты проходят? Я вижу, что пакеты приходят и дропаются (INPUT) либо пытаются отправиться и дропаются (OUTUPT).

Comments

[kizijo]

Спасибо.