netfilterINPUT私のチェーンから拒否されたトラフィックは私のチェーンを通して許可されているようですOUTPUT。INPUT関連するパケットチェーンに適用される規則は次のとおりです。
LOG all -- * * 0.0.0.0/0 0.0.0.0/0 LOG flags 0 level 6 prefix "ICATCH:"
REJECT-PKT all -- * * 0.0.0.0/0 0.0.0.0/0
カスタムREJECT-PKTチェーンと関連ルール：
REJECT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp reject-with tcp-reset
記録された結果は次のとおりです。
May 15 06:41:51 li51-144 kernel: ICATCH:IN=eth0 OUT= MAC=f2:3c:91:1f:61:44:84:78:ac:0d:97:c1:08:00 SRC=188.138.135.9 DST=<my IP> LEN=40 TOS=0x00 PREC=0x00 TTL=46 ID=46841 PROTO=TCP SPT=8838 DPT=23 WINDOW=22014 RES=0x00 SYN URGP=0
May 15 06:41:51 li51-144 kernel: OCATCH:IN= OUT=eth0 SRC=<my IP> DST=188.138.135.9 LEN=40 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=TCP SPT=23 DPT=8838 WINDOW=0 RES=0x00 ACK RST URGP=0
2番目の行は、テーブルの次の（最後から2番目の）規則に従って作成されますOUTPUT。
LOG all -- 0.0.0.0/0 0.0.0.0/0 LOG flags 0 level 6 prefix "OCATCH:"
私の考えに拒否されたパケットは、カーネルによって示され、ルールによってRST生成されiptablesたフラグを持つTCPトラフィックはファイアウォールによって処理されないことです。
私は何を間違って理解しましたか？
ベストアンサー1
@Aaronが言ったように、これは正常です。
着信パケットがルールREJECT に達すると、netfilterによって処理され、RSTパケットとメッセージで送信者に応答します。
ただし、逆に設定すると、DROPそのソースからのメッセージは受信されません。
このリンクをチェックしてください： DROPとREJECTの違い
tcpdump出力を実行またはwiresharkキャプチャし、ハブの下で何が起こっているかを確認することをお勧めします。