Início / server / Perguntas / 957652
Accepted
Mike
Asked: 2019-03-11 17:32:43 +0800 CST

UFW registrando um bloco em uma porta permitida

  • 772

Minha corrente ufw statusé a seguinte. O UFW está definido como negação padrão.

[ 1] SSH                        ALLOW IN    10.1.0.0/16               
[ 2] DNS                        ALLOW IN    10.1.0.0/16               
[ 3] DNS                        ALLOW IN    192.168.0.0/16            
[ 4] 1900,3478,10001/udp        ALLOW IN    10.1.0.0/16                # UniFi UDP ports
[ 5] 6789,8080,8443,8843,8880,27117/tcp ALLOW IN    10.1.0.0/16                # UniFi TCP ports
[ 6] 5353/udp                   ALLOW IN    10.1.0.0/16                # Multicast DNS aka Bonjour

Portanto, os pacotes TCP de entrada na porta 8080 do bloco 10.1.0.0/16 devem ser permitidos, mas no meu ufw.log vejo repetições constantes do seguinte:

Mar 10 18:28:48 pi-hole kernel: [97820.380848] [UFW BLOCK] IN=eth0 OUT= MAC=b8:27:eb:ef:23:6a:b4:fb:e4:28:d2:48:08:00:45:00:00:34:52:72:40:00:40:06:d1:51 SRC=10.1.1.1 DST=10.1.1.254 LEN=52 TOS=0x00 PREC=0x00 TTL=64 ID=21106 DF PROTO=TCP SPT=36656 DPT=8080 WINDOW=245 RES=0x00 ACK FIN URGP=0 
Mar 10 18:29:10 pi-hole kernel: [97841.880829] [UFW BLOCK] IN=eth0 OUT= MAC=b8:27:eb:ef:23:6a:b4:fb:e4:28:d2:48:08:00:45:00:00:34:55:42:40:00:40:06:ce:81 SRC=10.1.1.1 DST=10.1.1.254 LEN=52 TOS=0x00 PREC=0x00 TTL=64 ID=21826 DF PROTO=TCP SPT=36657 DPT=8080 WINDOW=245 RES=0x00 ACK FIN URGP=0 
Mar 10 18:29:31 pi-hole kernel: [97863.530929] [UFW BLOCK] IN=eth0 OUT= MAC=b8:27:eb:ef:23:6a:b4:fb:e4:28:d2:48:08:00:45:00:00:34:87:7d:40:00:40:06:9c:46 SRC=10.1.1.1 DST=10.1.1.254 LEN=52 TOS=0x00 PREC=0x00 TTL=64 ID=34685 DF PROTO=TCP SPT=36658 DPT=8080 WINDOW=245 RES=0x00 ACK FIN URGP=0

implicando que está bloqueando os pacotes TCP de entrada de 10.1.1.1 indo para a porta 8080.

Tentei correr ufw reloadsem sucesso. Eu também tentei permitir 8080 de qualquer endereço IP, mesmo problema.

Eu até removi completamente o UFW usando apt purge ufwe reinstalei e reconstruí minhas regras, mas ainda tenho o mesmo problema.

Alguma ideia?

ufw

1 respostas

  1. Best Answer

    De acordo com https://askubuntu.com/questions/803276/ufw-block-syslog-tcp-ip-is-blocked-and-this-is-allowed-in-ufw-gps-tracking-t acima , o problema gira em torno em torno de diferentes fornecedores fechando conexões de maneiras diferentes. Isso resulta no UFW recebendo alguns pacotes na porta 8080 em conexões que a fonte pensava que ainda estava aberta, mas que o UFW havia fechado. Para contornar isso, primeiro excluímos a regra de permissão da porta 8080 no ufw usandosudo ufw delete <rule number of 8080 rule>

    Então dizemos ao UFW para aceitar todos os pacotes 8080, sejam eles válidos ou não. Fazemos isso editando /etc/ufw/before.rules para ipv4 e /etc/ufw/before6.rules para ipv6. Algum tempo antes da seção 'soltar pacotes INVÁLIDOS'.

    # quickly process packets for which we already have a connection
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

#Accept everything from tcp 8080 
#Stops ufw.log filling with 8080 notices despite port 8080 being 'allowed'
-A ufw-before-input -p tcp --dport 8080 -j ACCEPT


# drop INVALID packets (logs these in loglevel medium and higher)
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP

    É uma boa ideia lembrar-se dessa regra porque ela não aparecerá quando você executar ufw status. Eu tenho uma regra que abre algumas outras portas para o mesmo serviço (controlador unifi), então adicionei uma nota usando

    ufw allow from x.x.x.x to any proto tcp port 8443,27117 comment 'UniFi ports. Also see manual rule for 8080 in /etc/ufw/before.rules'

    ufw statusmostra o comentário:

    8443,27117/tcp  ALLOW  10.1.0.0/16  # UniFi ports. Also see manual rule for 8080 in /etc/ufw/before.rules

    Não estou usando ipv6 na minha instância, então não posso testá-lo, mas você editaria before6.rules e adicionaria a regra apropriada lá.

    • 3

relate perguntas