主页 / server / 问题 / 1143773
Accepted
Julien
Asked: 2023-09-15 18:09:31 +0800 CST

LXC 容器无法加载大型 iptables 规则

  • 772

当我尝试在 LXC 容器上加载一大组 iptables 规则时，我遇到了一个奇怪的问题（它在虚拟机上运行良好）。

该容器正在运行 Linux Debian 12 bookworm。

我可以配置规则并保存它们：

 /usr/sbin/netfilter-persistent save

但是，如果我尝试加载它们，我会收到此错误消息（文件长度为 694 个字符）

$ sudo  iptables-restore < /etc/iptables/rules.v4
sendmsg() failed: Message too long
iptables-restore: line 692 failed: Message too long.

奇怪的是，如果我添加详细模式，它就可以正常工作

$ sudo  iptables-restore -v < /etc/iptables/rules.v4 && echo ok
(...)
# Completed on Fri Sep 15 08:57:48 2023
ok

但是，如果我尝试加载大文件（33750 行），无论是否处于详细模式，我总是会收到“消息太长”错误。

所有加载测试都在虚拟机（相同操作系统）上正常运行。

所以我想知道 LXC 中是否存在行限制或内存限制？我尝试过玩，limits.conf但它还没有改变任何东西。

任何想法 ？

编辑以下是重现此行为的更多信息：

内核版本：

Linux xxxxxx 6.2.16-10-pve #1 SMP PREEMPT_DYNAMIC PMX 6.2.16-10 (2023-08-18T11:42Z) x86_64 GNU/Linux

一些软件包版本（来宾容器）：

ii  iptables                            1.8.9-2                                 amd64        administration tools for packet filtering and NAT
ii  iptables-persistent                 1.0.20                                  all          boot-time loader for netfilter rules, iptables plugin
ii  libip4tc2:amd64                     1.8.9-2                                 amd64        netfilter libip4tc library
ii  libip6tc2:amd64                     1.8.9-2                                 amd64        netfilter libip6tc library
ii  libnetfilter-conntrack3:amd64       1.0.9-3                                 amd64        Netfilter netlink-conntrack library
ii  libxtables12:amd64                  1.8.9-2                                 amd64        netfilter xtables library
ii  netfilter-persistent                1.0.20                                  all          boot-time loader for netfilter configuration

主机包：

ii  lxc-pve                              5.0.2-4                             amd64        Linux containers userspace tools
ii  lxcfs                                5.0.3-pve3                          amd64        LXC userspace filesystem
ii  pve-lxc-syscalld                     1.3.0                               amd64        PVE LXC syscall daemon

小规则集是：

# Generated by iptables-save v1.8.9 (nf_tables) on Fri Sep 15 08:57:48 2023
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:block_spam2 - [0:0]
:block_spam1 - [0:0]
:block_spam3 - [0:0]
:incoming_net - [0:0]
:sensitive_daemons - [0:0]
-A INPUT -j block_spam1
-A INPUT -j block_spam2
-A INPUT -j block_spam3
-A INPUT -j sensitive_daemons
-A INPUT -j incoming_net
-A INPUT -j sensitive_daemons
-A block_spam2 -s 1.0.1.0/24 -j DROP
-A block_spam2 -s 84.22.192.0/19 -j DROP
-A block_spam1 -s 103.39.156.0/22 -j DROP
-A block_spam1 -s 5.255.220.0/22 -j DROP
-A block_spam3 -s 87.245.234.136/32 -j DROP
-A block_spam3 -s 217.199.224.0/19 -j DROP
[...] 675 lines here : block_spam[1-3] with a uniq ip address [...]
-A incoming_net -d 192.168.1.248/29 -p tcp -m tcp --dport 80 -j ACCEPT
-A incoming_net -d 192.168.1.248/29 -p tcp -m tcp --dport 443 -j ACCEPT
-A incoming_net -d 192.168.1.248/29 -p tcp -j DROP
-A sensitive_daemons -s 192.168.1.248/29 -p tcp -m tcp --dport 22 -j DROP
-A sensitive_daemons -s 192.168.1.0/24 -d 192.168.1.24/32 -p tcp -m tcp --dport 22 -j ACCEPT
-A sensitive_daemons -p tcp -m tcp --dport 22 -j DROP
COMMIT
# Completed on Fri Sep 15 08:57:48 2023
iptables

2 个回答

  1. Best Answer

    您应该考虑使用 ipset 来保留 block_spam* 规则的主机/网络地址（并且可能将它们合并为一组），这会更快。或者只是转移到 nftables 并使用内置集。

    • 1

  2. 如果您查找 sendmsg() 手册页，您会发现它实际上没有响应表明消息太大。然而，如果消息缓冲区中没有足够的空间，它会返回 ENOBUFS - 类似，但不是同一件事。我怀疑这就是这里正在发生的事情。当没有任何内容清空消息缓冲区时会导致 - 套接字通信以某种方式失败。为什么 iptables-restore 会写入套接字？最有可能的是它试图写入日志条目（或一个大的日志条目），但这主要是猜测。在大多数现代 Linux 上，“iptables-restore”是一个符号链接，指向数据包过滤工具的几种实现之一。

    如果iptables-restore -v有效，那么您就有一个解决方法，但是拥有大量防火墙规则的最可能原因是您直接添加有关各个客户端地址的规则。这对于少量地址来说很好，但无法扩展。正如@Tomek 所说，使用ipset是一个更好的解决方案（这确实可以扩展）。

    • 0

相关问题