Почему после применения правил IPTABLES в Debian 10 всё блокируется?

Question

[Евгений Старков]

Перепробовал множество правил и в итоге всё приводит к полной блокировке. Помогает только reboot, не один порт после применения правил не работает. Исходя из логики, всё как бы должно работать, как быть?

Пример цепочек:

#!/bin/bash

# Flush rules and delete custom chains
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X

# Define chain to allow particular source addresses
iptables -N chain-incoming-ssh
# iptables -A chain-incoming-ssh -s 192.168.1.148 -j ACCEPT
# iptables -A chain-incoming-ssh -s 192.168.1.149 -j ACCEPT
iptables -A chain-incoming-ssh -j DROP

# Define chain to allow particular services
iptables -N chain-outgoing-services
iptables -A chain-outgoing-services -p tcp --dport 53  -j ACCEPT
iptables -A chain-outgoing-services -p udp --dport 53  -j ACCEPT
iptables -A chain-outgoing-services -p tcp --dport 123 -j ACCEPT
iptables -A chain-outgoing-services -p udp --dport 123 -j ACCEPT
iptables -A chain-outgoing-services -p tcp --dport 80  -j ACCEPT
iptables -A chain-outgoing-services -p tcp --dport 443 -j ACCEPT
iptables -A chain-outgoing-services -p tcp --dport 22  -j ACCEPT
iptables -A chain-outgoing-services -p icmp            -j ACCEPT
iptables -A chain-outgoing-services -j DROP

# Define chain to allow established connections
iptables -N chain-states
iptables -A chain-states -p tcp  -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A chain-states -p udp  -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A chain-states -p icmp -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A chain-states -j RETURN

# Drop invalid packets
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP

# Accept everything on loopback
iptables -A INPUT  -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Accept incoming/outgoing packets for established connections
iptables -A INPUT  -j chain-states
iptables -A OUTPUT -j chain-states

# Accept incoming ICMP
iptables -A INPUT -p icmp -j ACCEPT

# Accept incoming SSH
iptables -A INPUT -p tcp --dport 22 -j chain-incoming-ssh

# Accept outgoing 
iptables -A OUTPUT -j chain-outgoing-services

## Drop everything else
iptables -P INPUT   DROP
iptables -P FORWARD DROP
iptables -P OUTPUT  DROP

Comments

[Valentin Barbolin]

iptables -A chain-outgoing-services -p tcp --dport 53 -j ACCEPT

Точно dport ? Может все таки sport?

[Евгений Старков]

Andrey Barbolin, Да, точно dport.

[Valentin Barbolin]

Евгений Старков, Тогда добавь вот такую строчку и проверь SSH
iptables -A chain-outgoing-services -p tcp --sport 22 -j ACCEPT

[shurshur]

Andrey Barbolin, это у него должно подпадать под chain-states

[shurshur]

Евгений Старков, сходу ничего не видно. Значит, надо искать, логгированием или методом исключения.

Надеюсь, хост не по сети управляется, и доступ к консоли есть, чтобы смотреть, что происходит?

Надо начать с просмотра iptables -L -n -v, там есть счётчики пакетов, по которым уже, вероятно, может быть заметно срабатывание определённых правил на конкретные виды трафика.

Можно пытаться убирать отдельные DROP и сравнивать ощущения, например, я бы попробовал начать с OUTPUT policy.

Можно делать логгирование, например, добавить в конце OUTPUT, чтобы видеть, что было перед проваливанием в policy DROP:

iptables -A OUTPUT -j LOG --log-prefix "iptables_OUTPUT_DROP: "

И дальше смотреть в выводе команды dmesg или в логах.

[Valentin Barbolin]

shurshur, Вообще для дебага iptables придумали trace.
https://backreference.org/2010/06/11/iptables-debu...

[Valentin Barbolin]

shurshur,

это у него должно подпадать под chain-states

Не согласен.

ESTABLISHED -- meaning that the packet is associated with a connection which has seen packets in both directions,

Мне кажется у него блокируется исходящий трафик и соответственно соединение не попадает ESTABLISHED.

iptables -A chain-outgoing-services -p tcp --dport 22 -j ACCEPT

В таблице OUTPUT dport это порт клиента, а не сервера, получается правило отработает когда исходящий трафик будет итти на 22 порт клиента. Тут должен быть sport.

[shurshur]

Andrey Barbolin, никогда TRACE не пользовался, но по сути оно через тот же LOG работает. Я обычно делаю по-другому и с другой целью, чем отладка, вот такими правилами:

# ACCEPT с логгированием
-A LOG_ACCEPT -m state --state INVALID,NEW -m limit --limit 10/sec -j LOG --log-prefix "iptables-ACCEPT "
-A LOG_ACCEPT -j ACCEPT

# DROP с логгированием
-A LOG_DROP -m limit --limit 10/sec -j LOG --log-prefix "iptables-DROP " --log-level 4
-A LOG_DROP -j DROP

Неправда, в chain-outgoing-services перечислено то, что будет инициироваться с этого хоста, исходящий трафик наружу. Входящий трафик снаружи на 22 порт тут ни при чём, его как раз chain-states должен обрабатывать. По крайней мере это так задумано, а вот как реально --ctstate в данной ситуации работает я не знаю, и вообще, я всегда пользовался --state.

[Valentin Barbolin]

shurshur,
> Неправда, в chain-outgoing-services перечислено то, что будет инициироваться с этого хоста
ОК, но остальной исходящий трафик запрещен. Входящий соединение SSH на этот сервер не попадет в ESTABLISHED пока сервер не ответит на входящее соединение, а сервер не может ответить, потому что:

iptables -A chain-outgoing-services -j DROP
iptables -P OUTPUT DROP

[shurshur]

Andrey Barbolin, я когда читал этот вопрос полез бегло гуглить, подпадает ли SYN ACK под ESTABLISHED и вроде как по найденным картинкам должен подпадать (но это неточно), впрочем, это какое-то нелогичное поведение - считать установленным не до конца установленное соединение. Ну а так проверять внимательнее мне пока лениво было.

[Евгений Старков]

Andrey Barbolin, всё верно, исходящий трафик был запрещен, это и было проблемой...

[Евгений Старков]

Большое спасибо всем, кто откликнулся!

Answer 1

[Vladimir]

Единственный порт, который вы пытаетесь открыть: 22/tcp

# Accept incoming SSH
iptables -A INPUT -p tcp --dport 22 -j chain-incoming-ssh

Но в цепочке chain-incoming-ssh нет ничего, что разрешало бы ssh, там сразу стоит заглушка DROP.
Вариант 1: сразу открыть и не строить сложных конструкций
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
Вариант 2: в ветке chain-incoming-ssh

iptables -N chain-incoming-ssh
iptables -A chain-incoming-ssh -p tcp --dport 22 -j ACCEPT
iptables -A chain-incoming-ssh -j DROP