替换我的防火墙规则

10

我拥有一个为我配置iptables的初始化脚本很多年了，直到现在，它一直像冠军一样工作。从10.04升级到12.04后，我开始遇到规则集已损坏的防火墙问题。经过一番游戏之后，我发现某些东西设置了以下规则：

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:53
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:53
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:67
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:67

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  0.0.0.0/0            192.168.122.0/24     state RELATED,ESTABLISHED
ACCEPT     all  --  192.168.122.0/24     0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable
REJECT     all  --  0.0.0.0/0            0.0.0.0/0            reject-with icmp-port-unreachable

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

即使我完全禁用了自己的防火墙脚本。我首先想到的是ufw很活跃-但事实并非如此：

# ufw status
Status: inactive

它可能相关也可能不相关，但是我只在运行kvm的计算机上看到此问题。

是否有人有可能做这件事的指针，以及如何禁用添加这些不需要的规则的内容？

编辑以供将来寻找它的人使用：我终于找到了将这些神秘的iptables规则明确链接到libvirt的源：http : //libvirt.org/firewall.html

firewall iptables init.d

— 雪兔
source

1

它是多宿主机器吗？192.168.122.0/24 CIDR是什么？是否有接口在该范围内的IP上进行监听？我可能会尝试查看以下输出：

grep -R 192.168.122 /etc

找出是否有与此相关的任何配置，并检查/ etc / cron *中的cron条目

— 马辛·卡明斯基
source

192.168.122脱离virbr0（由KVM创建）。使我最头疼的是对默认规则的更改。我的防火墙使用默认的DROP。更改使用默认的ACCEPT。我通常最终得到一个垃圾规则集，其中的默认规则是我的，但是上面是特定的规则。导致防火墙几乎阻止了所有内容。

— Snowhare 2012年

1

kvm通常使用地址空间192.168.122。您可以在libvirt站点中查看有关此内容的更多信息。

libvirt

有所有的信息。

— Lucianosds
source

1

欢迎来到Ask Ubuntu！尽管从理论上讲这可以回答问题，但最好在此处包括答案的基本部分，并提供链接以供参考。

— Braiam

-1

可能是在启动时启用了ufw，设置了规则然后变得不活动。可能是将规则硬编码到了以太网初始化脚本中。还是KVM？为什么要在乎？只需使iptables命令从root用户无法运行，chmod然后仅在脚本中启用它即可。

— 巴拉夫·白化
source

这不是一个好的建议解决方案。它只是通过破坏系统功能而不是解决根本问题来掩盖症状。这就像提议“修复”故障的转向信号灯，该信号灯不会通过拉动保险丝而熄灭。

— Snowhare