Помните я ныл про wireguard и посос с форвардингом?
Как оказалось, я на той тачке переехал на nftables. И забыл.
В результате после дроча с wireguard там работало два почти идентичных набора правил, но один в нфт, а второй в ипстолах. Само собой в нфт на неведомое в форварде стоял дроп.
Такие дела.
Алсо, в современных прыщиксах iptables это iptables-nft, и его правила (иногда криво, но всё же) видно через nft.
Короче, прыщарды, PSA: пора менять привычки: если раньше при любом втф с фаерволлом ты нажимал iptables-save и смотрел, то теперь надо нажимать nft list ruleset и смотреть туда.
Кто проживает на дне океана^W^W^Wмежду mangle forward и filter forward?
У меня есть конфигурация openvpn и конфигурация wireguard, с /24 подсетями, и натом из них в интернет.
sysctl на интерфейсах одинаковые, за вычетом net.ipv6.conf.%i.stable_secret, правила в фаерволле одинаковые, форвардинг включен, правил роутинга нет.
Тем не менее. Пакеты OpenVPN ходят в интернет и обратно заебись, а исходящие пакеты wireguard вылезают из интерфейса, лезут в фаерволл, едут до mangle filter и судя по -j LOG, после него теряются.
https://pastebin.com/AxTMWrbH
задача в следующем: необходимо организовать правила iptables таким образом, чтобы трафик не шёл никуда кроме TOR. это делается просто. но необходимо ещё одно условие: чтобы трафик не шёл никуда кроме TOR и лишь на определённый VPN сервер, чтобы в случае если VPN отвалится - всё заглохло. реально ли такое?
#L11ZYJ
(6)
/ @anonymous / 2824 дня назад
ufw довольно прикольная надстройка iptables, более интуитивная и мне это нравится.
у меня всё время в rc.local был прописан iptables-restore </etc/iptables.rules и я был уверен в том что ничего не перезапишется и правила случайно не пропадут никуда. можно ли так же доверять ufw? сталкивались ли с ним, норм тема?
На лаптопе 172.28.0.2 через iodine, который на сервере 172.28.0.1. На сервере есть внешний айпи 1.1.1.1, поднят маскарадинг. Когда на лаптопе ip r a default via 172.28.0.1, через него ходит трафик до всех интернетов кроме самого 1.1.1.1. Что я сделал не так? Нат сделан как-то так:
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE
В очередной раз интересуюсь: как в linux сдампить сетевой трафик конкретного процесса? Интересуют исходящие tcp-соединения. iptables вроде можно попросить выделять пакеты по uid'у процесса, их породившего, но как быть с пакетами, которые летят в него из интернетов? Прыщестек-почти-не-знаю-кун.
Я ввожу команды по памяти, не задумываясь. Я окончательно потерян?
#GLRRCZ
(0)
/ @siranthony / 5096 дней назад
Цоперайт © 2010-2016 @stiletto.