Nowe posty

xx Jak uruchomić kartę sieciową Tenda U9 na debianie (1)
Wczoraj o 10:51:47
xx Debian 9.13 i dovecot 2.2.27 problem (0)
2022-01-25, 15:36:56
xx Skrypty linux Prosze o pomoc (7)
2022-01-25, 11:17:55
xx Strona o testach penetracyjnych, hackingu (23)
2022-01-22, 22:28:27
xx Ocena odpowiedzi - włączenie funkcji forum (1)
2022-01-18, 17:00:43
xx Instalacja Linux pop!os na laptopie bez systemu (10)
2022-01-13, 19:00:51
xx Stary Asus x71sl , nie startuje żaden linux (8)
2022-01-11, 19:00:52
xx HDMI - problem w poprawnym działaniu (0)
2022-01-11, 13:09:19
xx Search redirecting (4)
2022-01-08, 12:12:02
xx Jak to wersja (24)
2022-01-07, 00:22:09

Autor Wątek: Przejście z iptables na nftables. Serwer z DNS i VPN...  (Przeczytany 643 razy)

Offline bluzman

  • Nowy na forum
  • *
  • Wiadomości: 1
    • Zobacz profil
Witam wszystkich. Postaram się opisać mój problem najbardziej przejrzyście.
Postanowiłem zmienić firewall z iptables na nftables. Pierwsza moja przygoda z tą zaporą. Używam do dłumaczenia iptables-translate. Co natomiast nie działa? Na serwerze jest usługa DNS (serwer cacheujący na Unbound), VPN (Wire Guard), SMB oraz dodatkowo Apache+SSL.

Problemy w nftables:
1. DNS - po uruchomieniu nie keszuje nic
2. Po zalogowaniu się na VPN (w którym sieć lokalna ma adresy 10.200.200.XX na interfejsie wg0) nie można np. mapować dysków (SMB) które dostępne są w właściwej sieci pod adresami 192.168.0.XX
Wszystkie problemy w/w działają oczywiście pod iptables.
Zamieszczam poniżej do porównania pełną konfigurację firewalli do analizy

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [232:27745]
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
-A INPUT -p udp -m udp --sport 53 -m conntrack --ctstate ESTABLISHED -j ACCEPT
-A INPUT -p udp -m udp --dport 51820 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -j DROP

-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i wg0 -o wg0 -m conntrack --ctstate NEW -j ACCEPT

-A OUTPUT -p udp -m udp --sport 53 -m conntrack --ctstate ESTABLISHED -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT

COMMIT
*nat
:PREROUTING ACCEPT [533570:88784442]
:INPUT ACCEPT [3060:204088]
:OUTPUT ACCEPT [1317:93210]
:POSTROUTING ACCEPT [8:480]
-A POSTROUTING -s 10.200.200.0/24 -o eth0 -j MASQUERADE
COMMIT

a to jest to samo tylko w przekąłdnie na nftables
table ip filter {
        chain input {
                type filter hook input priority filter; policy drop;
                iifname "lo" counter packets 202 bytes 658758 accept
                ct state established,related counter packets 37298 bytes 8916101 accept
                tcp dport 22 counter packets 1609 bytes 254971 accept
                udp dport 53 ct state established counter packets 0 bytes 0 accept
                udp sport 53 ct state established counter packets 0 bytes 0 accept
                udp dport 51820 ct state new counter packets 2 bytes 352 accept
                nft add rule ip filter INPUT counter drop
        }

        chain output {
                type filter hook output priority filter; policy accept;
                udp sport 53 ct state established counter packets 1150 bytes 159030 accept
                udp dport 53 ct state established counter packets 0 bytes 0 accept
        }

        chain forward {
                type filter hook forward priority filter; policy accept;
                ct state established,related counter packets 5084 bytes 2919832 accept
                iifname "wg0" oifname "wg0" ct state new counter packets 0 bytes 0 accept
        }
}
table ip nat {
        chain prerouting {
                type nat hook prerouting priority dstnat; policy accept;
        }

        chain postrouting {
                type nat hook postrouting priority srcnat; policy accept;
                oifname "eth0" ip saddr 10.200.200.0/24 counter packets 341 bytes 36726 masquerade
        }
}

Z góry dziękuję za pomysły, sugestie, pomoc...